Microsoft Authenticator-ის Android-ვერსიის ხარვეზით მავნე აპებს სამუშაო ანგარიშზე წვდომის მოპარვა შეეძლოთ

Enclave-ის მკვლევარებმა Microsoft Authenticator-ის Android-ის ვერსიაში ხარვეზი აღმოაჩინეს, რომლის გამოყენებითაც ტელეფონზე არსებულ ნებისმიერ აპს შეეძლო ჩუმად აეღო კონტროლი სამუშაო ანგარიშზე. მავნე აპს ნებართვები არ სჭირდებოდა, მომხმარებელს კი არაფერზე დაჭერა არ უწევდა. Microsoft-მა გამოასწორა პრობლემა, რომელიც CVE-2026-80097-ად არის დარეგისტრირებული.

როგორ მუშაობდა ხარვეზი

Android-ზე Authenticator Microsoft-ის ისეთი აპებისთვის, როგორებიცაა Teams და Outlook, შუამავლის როლს ასრულებს. როცა აპს შესვლა სჭირდება, ის Authenticator-ს ტოკენს სთხოვს, Authenticator კი გულდასმით უნდა ამოწმებდეს, რომელი აპი ითხოვს. მკვლევარმა Ofek Levin-მა აღმოაჩინა, რომ Authenticator-ის ერთი ნაწილი ნებისმიერ აპს შეეძლო გაეხსნა და ის ენდობოდა აპის მიერ საკუთარ თავზე ნათქვამს, გამომძახებლის გადამოწმების ნაცვლად. Authenticator ასევე ახდენდა შემოწმებას, მაგრამ ამ შემოწმების გაყალბება შეიძლებოდა, რადგან ნებისმიერ აპს შეუძლია წაიკითხოს ის დეტალები, რომლებსაც ის ადარებდა.

რა შეეძლოთ თავდამსხმელებს

როცა Authenticator-ში ერთი სამუშაო ანგარიში იყო შესული, სატესტო აპმა მიიღო ტოკენები, რომლებითაც შეიძლებოდა ელფოსტის წაკითხვა და გაგზავნა, ფაილების, კალენდრის ჩანაწერებისა და SharePoint-ის საიტების წაკითხვა და შეცვლა, ასევე დაზარალებულის სახელით Teams-ში შეტყობინებების გაგზავნა. Authenticator-ის სახელით წარმოჩენით თავდამსხმელს ასევე შეეძლო ანგარიშში შესვლის მეთოდების შეცვლა, მათ შორის passkey-ების შექმნა და წაშლა. თავდამსხმელი, რომელიც passkey-ს დაამატებდა, მავნე აპის წაშლის შემდეგაც შეინარჩუნებდა წვდომას. თავდასხმა მაინც მოითხოვდა მოწყობილობაზე მავნე აპის არსებობას, ამიტომ საჭირო იყო ვინმეს მოტყუება და აპის დაყენება, მაგრამ თავად ქურდობა ჩუმად ხდებოდა.

გამოსწორებული ვერსიები და რჩევები

Enclave-მა ხარვეზი Microsoft-ს პასუხისმგებლიანი გამჟღავნების პრინციპით აცნობა. Microsoft-მა დაადასტურა და 2026 წლის 8 სექტემბერს გამოქვეყნებული გამოსწორება გამოუშვა; CVSS-ის შეფასება 8,6-ია. დაზარალებულია Authenticator-ის Android-ის ყველა ვერსია, რომელიც 6.2606.4246-ზე ძველია. მომხმარებლებმა Google Play Store-დან უნდა განაახლონ და შეამოწმონ, რომ 6.2606.4246 ან უფრო ახალი ვერსია აქვთ. ორგანიზაციებმა, რომლებიც კომპანიის მოწყობილობებს მართავენ, უნდა დარწმუნდნენ, რომ მათი MDM ამ მინიმალური ვერსიის დაყენებას აიძულებს. მომხმარებლებმა ასევე სიფრთხილე უნდა გამოიჩინონ აპების არაოფიციალური გზით დაყენებისა და სანდო მაღაზიების გარეთ უცნობი აპების ინსტალაციის მიმართ.

წყაროები: Help Net Security · Techmeme