专注隐私安全的 Android 操作系统分支 GrapheneOS 近日披露并修复了一个存在于 Android 系统 VPN 组件中的安全漏洞。该漏洞能够使 VPN 服务在连接意外中断时产生流量泄漏，用户的真实 IP 地址及通信内容可能绕过加密隧道直接暴露在公网。目前 Google 尚未在 Android 开源项目（AOSP）主线代码中合并该补丁，这意味着绝大多数 Android 设备仍然处于潜在风险之中。
据 GrapheneOS 团队披露，该漏洞的核心问题出现在 Android 系统的“网络防火墙”与“VPN 接口”之间的状态同步机制中。当 VPN 连接因网络切换、系统休眠或其他因素断开时，Android 系统本应通过 iptables 规则阻止所有非 VPN 接口的数据传输，以起到“断线保护”（Kill Switch）的作用。然而由于内核级标识错误，部分数据包在特定条件下会忽略这些防火墙规则，直接通过物理或 Wi-Fi 接口发出。
漏洞机制与影响范围
具体而言，Android 系统在管理 VPN 接口时使用了独立的网络评分与路由表。当 VPN 接口状态发生改变时，系统会尝试重新配置防火墙规则，但在某些竞态条件下（Race Condition），旧的路由条目未能及时清除，导致普通应用的数据流能够短暂绕过 VPN 的 eBPF 过滤机制。GrapheneOS 的修复方案是增加了对网络事件监听器的优先级调整，并强制执行双向的 VPN 出站过滤规则，确保即使路由表更新延迟，所有非 VPN 流量也会被内核防火墙直接丢弃。
该漏洞涉及 Android 系统的通用网络组件，理论上影响所有基于 AOSP 的 Android 12 至最新预览版。第三方安全研究人员指出，该问题在 Wi‑Fi 与移动数据切换等高频率网络变更场景下更容易被触发。对于使用公共 Wi‑Fi 或依赖 VPN 访问跨境服务的用户而言，流量泄露可能带来隐私与数据安全风险。
GrapheneOS 的补丁与谷歌回应
GrapheneOS 团队在官方 Git 仓库中提交了针对该漏洞的修复补丁，该补丁已在最新稳定版中向所有用户推送，采用 GrapheneOS 的设备无需任何手动操作即可获得保护。与此同时，团队将补丁同步提交至 AOSP Gerrit，供 Google 及其他 OEM 审查合并。GrapheneOS 开发者 Daniel Micay 在社交平台发文指出，该漏洞在 Android 内部工单系统中已被记录，但 Google 并未提供明确的修复时间表。
在媒体披露该问题后，Google 方面发布了简短声明，确认存在这一漏洞，并表示正在评估已提交的补丁，但未承诺具体的版本号或发布日期。Google 同时建议用户保持系统更新，并在信任建立前避免使用不稳定的 VPN 连接。这意味着从 Android 13 到最新的 Android 14 测试版，Google Play 认证设备（包括 Pixel 系列）仍然暴露在该漏洞下，直到官方安全补丁被集成到后续的月度更新中。
对于普通 Android 用户而言，在 Google 正式修复前，临时缓解措施包括在 VPN 断开后手动触发重新连接，或禁用允许 VPN 绕过本地网络的应用权限。从系统选择角度，GrapheneOS 因对 AOSP 持续进行安全增强，目前是唯一已集成该补丁的操作系统。该事件再次表明，在 Android 碎片化生态中，第三方 ROM 的安全响应速度有时能超越官方渠道，为高隐私需求用户提供了额外的防护选择。
本文参考来源：Android Authority
