Уязвимость в Microsoft Authenticator для Android позволяла приложениям без разрешений красть токены рабочих аккаунтов

Microsoft устранила уязвимость в приложении Authenticator для Android. Она позволяла вредоносной программе, не запрашивающей никаких разрешений, выдавать себя за доверенное приложение Microsoft, например Teams, и получать токены входа в рабочую учётную запись жертвы. Уязвимости присвоен идентификатор CVE-2026-80097, исправление вошло в Authenticator для Android версии 6.2606.4246.

В тестах исследователей полученные токены давали полный доступ к почте, файлам и календарю учётной записи. По данным Microsoft, для эксплуатации жертва также должна пройти этап входа в Authenticator. Атак с использованием уязвимости компания не зафиксировала.

Кто нашёл и как оценили

Уязвимость обнаружил Офек Левин, участник стипендиальной программы компании Enclave, которая специализируется на безопасности. Технические подробности Enclave опубликовала 23 октября 2026 года. Microsoft присвоила CVE 8 сентября и оценила уязвимость в 8,6 балла по шкале CVSS с уровнем «Важная».

Как работала атака

На Android Authenticator не только показывает шестизначные коды, но и служит брокером аутентификации. Когда Teams, Outlook или другому приложению Microsoft нужно авторизовать пользователя, оно обращается к Authenticator и получает токен, то есть цифровой пропуск, подтверждающий вход. Брокер контролирует доступ ко всей учётной записи, поэтому должен тщательно проверять, кому выдаёт токены.

Authenticator открывает компонент AccountChooserActivity, который может запустить любое приложение на устройстве. Запрос токена формировался из значений, переданных вызывающей стороной, включая имя приложения, за которое та себя выдавала. Вредоносная программа представлялась как Teams, и брокер ей верил.

Проверка подписи от этого не защищала. Она находила настоящую подпись приложения, за которое выдавал себя злоумышленник, и сверяла запрос с ней. Teams действительно был установлен на устройстве, поэтому его подпись была доступна и проверка проходила успешно. Как выяснили в Enclave, Authenticator мог определить, какое приложение на самом деле отправило запрос, но не учитывал это при выдаче токена.

В тестах Enclave запрос токенов Microsoft Graph от имени Teams давал, среди прочего, права на чтение и отправку почты, чтение и запись файлов и календарей. Microsoft формулирует последствия шире: злоумышленник мог пройти аутентификацию от имени пользователя и получить доступ к его ресурсам. Речь идёт только о рабочей учётной записи, в которую выполнен вход в Authenticator на данном устройстве.

Расхождение в оценках

Enclave утверждает, что её proof of concept получал токены без участия пользователя, достаточно было наличия выполненного входа. В бюллетене Microsoft сказано, что нужны установка вредоносного приложения и прохождение пользователем процедуры аутентификации в Authenticator. Оценка CVSS также предполагает взаимодействие с пользователем.

По данным Microsoft, уязвимость не эксплуатировалась и не раскрывалась публично до выхода исправления, а вероятность эксплуатации компания считает низкой. Исправление вошло в сентябрьский Patch Tuesday 2026 года. Уязвимость не относится к двум проблемам Windows, которые в том месяце уже использовались в атаках. По состоянию на 26 октября её нет в каталоге известных эксплуатируемых уязвимостей CISA.

Пользователям следует обновить Authenticator для Android до версии 6.2606.4246 или новее. Организации могут требовать эту минимальную версию через системы управления устройствами. Отзывает ли обновление токены, которые вредоносное приложение могло получить раньше, Microsoft не уточняет.

Источник: The Hacker News