CVE-2026-45182
NiskieCVSS 2.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Podatność w GrapheneOS przed wersją 2026050400. Atakujący może odkryć prawdziwy adres IP użytkownika VPN z powodu optymalizacji registerQuicConnectionClosePayload, gdy włączone są ustawienia 'Block connections without VPN' i 'Always-on VPN'. Aplikacja może sprawić, że system_server wyśle ruch UDP w jej imieniu.
Ocena ryzyka
Ryzyko polega na wycieku prawdziwego adresu IP użytkownika VPN, co narusza prywatność i anonimowość, szczególnie w środowiskach wymagających ochrony lokalizacji.
Rekomendacja
Zaleca się aktualizację GrapheneOS do wersji 2026050400 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
GrapheneOS before 2026050400 allows attackers to discover the real IP address of a VPN user as a consequence of a registerQuicConnectionClosePayload optimization, because an application can let system_server transmit UDP traffic on its behalf. This occurs when the "Block connections without VPN" and "Always-on VPN" settings are enabled.