O vulnerabilitate a aplicației Microsoft Authenticator permite aplicațiilor Android malițioase să sustragă token-urile conturilor

Microsoft a remediat o vulnerabilitate cu grad de severitate high identificată ca CVE-2026-80097 (scor CvSS: 8.6/10) din Authenticator pentru Android, care permitea aplicațiilor rău intenționate, fără permisiuni, să sustragă token-urile de acces ale conturilor de serviciu, din cauza unei autentificări necorespunzătoare în componenta sa de broker.

Microsoft a clasificat această vulnerabilitate ca fiind una de tip elevation-of-privilege la nivel local. Vulnerabilitatea a afectat dispozitivele Android pe care era instalată aplicația Microsoft Authenticator și pe care era conectat un cont de serviciu.

Specialiștii au identificat că o aplicație neautorizată se putea da drept o aplicație Microsoft de încredere, cum ar fi Microsoft Teams, și putea solicita aplicației Authenticator să emită token-uri delegate pentru acea identitate.

Solicitarea nu necesita aprobarea utilizatorului, datele de autentificare ale contului sau permisiuni Android, în afară de faptul că aplicația era instalată pe dispozitiv. La baza acestei vulnerabilități se afla o activitate Android exportată, denumită com.microsoft.identity.client.AccountChooserActivity.

Alte aplicații pot lansa activități exportate pe același dispozitiv. În acest caz, activitatea a acceptat o solicitare de tip broker din partea aplicației apelante. Aceasta a returnat rezultatul autentificării după procesarea acestuia.

Problema principală a fost modul în care Authenticator a verificat aplicația solicitantă. Solicitarea intermediarului includea numele pachetului aplicației declarate, ID-ul clientului, URI-ul de redirecționare, domeniile de aplicare solicitate și chiar o valoare a UID-ului apelantului.

Specialiștii au raportat că aplicația rău intenționată putea completa aceste câmpuri, în loc ca acestea să fie legate de aplicația care a lansat efectiv solicitarea.

Authenticator a efectuat o validare a URI-ului de redirecționare bazată pe semnătură. Cu toate acestea, verificarea s-a concentrat asupra identității aplicației declarate în solicitare.

Dacă atacatorul pretindea că este Teams, logica vulnerabilă verifica dacă URI-ul de redirecționare corespundea cu pachetul Teams instalat efectiv. Deoarece Teams era instalat în mod legitim, atacatorul putea crea un URI de redirecționare valid pe baza semnăturii publice a pachetului și putea trece de verificare.

Solicitările reușite au returnat date referitoare la tokenuri prin pachetul de rezultate al activității. Tokenurile pot include tokenuri de acces, tokenuri de reîmprospătare, tokenuri de identificare și informații despre client.

În funcție de clientul Microsoft al cărui identitate este utilizată și de permisiunile solicitate, impactul s-ar putea extinde la resursele Microsoft Graph, cum ar fi mailbox-urile, calendarele, fișierele OneDrive, conținutul SharePoint și serviciile legate de Teams.

Microsoft a remediat vulnerabilitatea în aplicația Microsoft Authenticator pentru Android, versiunea 6.2606.4246, lansată în iulie 2026. Instituțiile și utilizatorii individuali ar trebui să actualizeze aplicația prin Google Play cât mai curând posibil și să verifice dacă dispozitivele gestionate rulează o versiune actualizată.

Avizul Microsoft descrie vulnerabilitatea ca fiind o eroare de autentificare necorespunzătoare care ar putea permite unui atacator local neautorizat să-și extindă privilegiile.

Sursă: https://cybersecuritynews.com/microsoft-authenticator-flaw/