概要
Rakuten Viberには、プロキシをCloakモードで使用する場合のTLSハンドシェイク実装に不備があります。
影響を受けるシステム
- Rakuten Viber Cloak - Android 25.7.2.0g以降、27.2.0.0gより前のバージョン
- Rakuten Viber Cloak - Windows v25.6.0.0からv25.8.1.0までのバージョン
詳細情報
Rakuten Viberはメッセージングアプリケーションです。Rakuten Viberは複数のプロキシ設定をサポートしており、プロキシサーバーを使用するように設定できますが、CloakモードのTLSハンドシェイク実装に不備（CVE-2025-13476、CWE-327）があります。
CloakモードはプロキシまたはVPNの使用を隠すように設計されていますが、送信データが識別しやすいフィンガープリントを持つため容易に識別できる可能性があります。
想定される影響
プロキシ設定でCloakモードを利用した場合、送信データによってプロキシの使用状況が容易に識別されるため、Viberのトラフィックをブロックされる可能性があります。
対策方法
アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。 本脆弱性は次のバージョンで修正されています。
- Rakuten Viber Cloak - Android V27.2.0.0g
- Rakuten Viber Cloak - Windows V27.3.0.0
ベンダ情報
| ベンダ | リンク |
|---|---|
| Rakuten Viber | Download |
| Download Viber update APK |
参考情報
-
CERT/CC Vulnerability Note VU#772695
A flawed TLS handshake implementation affects Viber Proxy in multiple platforms
JPCERT/CCからの補足情報
JPCERT/CCによる脆弱性分析結果
謝辞