Um erro no Android 16 permite que aplicativos contornem serviços de VPN e exponham o endereço IP real dos usuários, segundo relato divulgado pelo CNET. A falha foi detectada por um engenheiro de segurança residente em Zurique, na Suíça, que publicou detalhes sobre o problema em um post técnico e encaminhou a descoberta ao Programa de Recompensa por Vulnerabilidades do Google.

O que acontece e onde está o problema

O defeito está ligado ao componente ConnectivityManager do Android 16, responsável por gerenciar conexões de rede. Em certas circunstâncias, esse módulo envia uma notificação final a servidores web informando o encerramento de uma conexão. Essa comunicação é feita fora do túnel protegido pela VPN, resultando no envio de tráfego sem criptografia e na exposição do IP verdadeiro do dispositivo.

Na prática, a vulnerabilidade anula qualquer solução de VPN acionada no aparelho — independentemente do provedor, das permissões concedidas ou do nível de criptografia. Recursos de segurança como “VPN permanente” ou a opção para “bloquear conexões sem VPN” não impedem o vazamento; o tráfego pode ser encaminhado para fora da VPN mesmo com essas configurações ativas.

Notificação ao Google e posição da empresa

O pesquisador informou o Google por meio do programa de recompensas, e a equipe de segurança do Android avaliou o relatório. De acordo com o relato do autor da descoberta, a equipe decidiu não corrigir o bug porque o problema não foi classificado como de alta prioridade e sua correção foi considerada “inviável”.

O profissional que identificou a falha também afirmou ao CNET que o endereço IP só seria vazado caso o usuário instalasse aplicativos maliciosos. A empresa informou ainda que o Google Play Protect oferece proteção automática aos usuários, mas admitiu que “ameaças emergentes” podem não ser prontamente detectadas pelo sistema automatizado.

Riscos, correções e soluções temporárias

Até o momento não há registros públicos de exploração ativa dessa vulnerabilidade para extração de dados. No entanto, a ausência de uma correção oficial deixa dispositivos com Android 16 potencialmente expostos. Em contraste, o sistema GrapheneOS já aplicou uma correção para o problema, conforme relato da Mullvad, que recomenda a migração para esse sistema a usuários preocupados com privacidade.

Imagem: Ap

Como alternativa temporária, o pesquisador divulgou um método experimental que envolve a execução de um comando de depuração em aparelhos com a depuração USB ativada, possivelmente usando o Android Debug Bridge (ADB). Essa solução exige cuidado, depende da manipulação de funções sensíveis do sistema e pode ser revertida por atualizações futuras do Android, devendo ser considerada provisória.

A divulgação pública dos detalhes e a existência de uma correção aplicada em GrapheneOS mostram que há soluções técnicas viáveis, mas usuários de Android 16 devem permanecer atentos até que o Google lance uma correção oficial.

Com informações de Olhardigital