Microsoft Authenticator Android boşluğu pis tətbiqlərin iş hesabına girişi oğurlamasına imkan verdi
Microsoft Authenticator for Android-dakı boşluq pis niyyətli tətbiqlərin icazə və ya toxunuş olmadan iş hesabının tokenlərini sakitcə əldə etməsinə imkan verdi. Microsoft bunu 6.2606.4246 və sonrakı versiyalarda düzəltdi.
Enclave tədqiqatçıları Android üçün Microsoft Authenticator-də boşluq tapdılar; bu boşluq telefondakı istənilən tətbiqə iş hesabını sakitcə ələ keçirməyə imkan verirdi. Tətbiqə icazələr lazım deyildi və istifadəçinin toxunması tələb olunmurdu. Microsoft CVE-2026-80097 kimi qeydə alınmış boşluğu düzəltdi.
Boşluq necə işləyirdi
Android-da Authenticator Teams və Outlook kimi Microsoft tətbiqləri üçün vasitəçi rolunu oynayır. Bir tətbiq girişə ehtiyac duyanda Authenticator-dan token istəyir və Authenticator sorğu verən tətbiqi diqqətlə yoxlamalıdır. Tədqiqatçı Ofek Levin aşkar etdi ki, Authenticator-in bir hissəsi istənilən tətbiq tərəfindən açıla bilər və o, çağıran tərəfi yoxlamaq əvəzinə tətbiqin özü haqqında dediklərinə etibar edirdi. Authenticator həmçinin yoxlama aparırdı, amma istənilən tətbiq müqayisə etdiyi detalları oxuya bildiyi üçün bu yoxlama saxtalaşdırıla bilərdi.
Hücumçular nə edə bilərdi
Authenticator-ə bir iş hesabı daxil olduqda, sınaq tətbiqi qurban adından e-poçt oxumaq və göndərmək, faylları, təqvim qeydlərini və SharePoint saytlarını oxumaq və dəyişdirmək, həmçinin Teams mesajları göndərmək üçün tokenlər əldə etdi. Özünü Authenticator kimi göstərərək hücumçu hesabın giriş üsullarını, o cümlədən passkey-lər yaratmaq və silmək də daxil olmaqla dəyişə bilərdi. Passkey əlavə edən hücumçu pis niyyətli tətbiq silindikdən sonra da girişi saxlaya bilərdi. Hücum üçün cihazda pis niyyətli tətbiq tələb olunurdu, yəni kimsə onu quraşdırmağa aldadılmalı idi, amma oğurluq baş verəndən sonra səssiz gedirdi.
Düzəldilmiş versiyalar və tövsiyələr
Enclave boşluğu məsuliyyətli açıqlama yolu ilə Microsoft-a bildirdi. Microsoft bunu təsdiqlədi və 8 sentyabr 2026-cı il tarixində CVSS balı 8.6 olan düzəliş yayımladı. 6.2606.4246-dan əvvəlki bütün Android üçün Authenticator versiyaları təsirlənir. İstifadəçilər Google Play Store-dan yeniləməli və versiyanın 6.2606.4246 və ya daha yeni olduğunu yoxlamalıdırlar. Şirkət cihazlarını idarə edən təşkilatlar MDM-lərinin bu minimum versiyanı tətbiq etdiyinə əmin olmalıdırlar. İstifadəçilər həmçinin tətbiqləri yan yükləməkdən və etibarlı olmayan mağazalardan tanış olmayan tətbiqlər quraşdırmaqdan ehtiyatlı olmalıdırlar.
Mənbələr: Help Net Security · Techmeme
SiTech — AI ilə gücləndirilmiş veb hazırlanması
Sürətli və müasir saytlar qurur, AI-ı real biznes proseslərinə gətiririk. Layihəniz və ya sualınız var? Kömək etməyə hazırıq.