CVE-2025-13476

Przy nawiązywaniu połączenia TLS klient wysyła komunikat ClientHello zawierający m.in. listę obsługiwanych szyfrów i rozszerzeń. W trybie Cloak mode Viber używa zawsze tego samego, statycznego układu tych parametrów, tworząc unikalny i rozpoznawalny fingerprint (znany jako JA3 lub podobny). Systemy DPI mogą porównywać ten fingerprint z sygnaturą aplikacji i bez względu na użyty adres IP czy domenę bezbłędnie rozpoznać ruch jako pochodzący z Viber Cloak mode. W rezultacie operatorzy sieci lub cenzorzy mogą automatycznie blokować taki ruch, całkowicie neutralizując funkcję obchodzenia blokad.

Atakujący lub operator sieci stosujący DPI może niezawodnie zidentyfikować i zablokować ruch proxy generowany przez funkcję Cloak mode, pozbawiając użytkowników możliwości obchodzenia cenzury. W środowiskach o restrykcyjnej kontroli sieci naraża to użytkowników na ujawnienie faktu korzystania z narzędzi antycenzurowych.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Aktualna wersja aplikacji dostępna jest pod adresem https://www.viber.com/en/download/. Zaleca się jak najszybszą aktualizację do wersji zawierającej poprawkę implementującą zróżnicowane rozszerzenia TLS ClientHello.

Rakuten Viber dla Android w wersji 25.7.2.0g oraz Rakuten Viber dla Windows w wersjach od 25.6.0.0 do 25.8.1.0 (tryb Cloak mode).

Podatność dotyczy wyłącznie funkcji Cloak mode służącej do obchodzenia cenzury — nie umożliwia bezpośredniego przejęcia systemu ani wycieku danych. Pomimo oceny CVSS 9.8 (CRITICAL) rzeczywisty wpływ ogranicza się do naruszenia prywatności i skuteczności antycenzury. Szczegóły techniczne opublikowane w bazie CERT/CC (VU#772695).