Вразливість Microsoft Authenticator для Android дозволяла стороннім застосункам викрадати доступ до робочих облікових записів

Дослідники з Enclave виявили вразливість у Microsoft Authenticator для Android, яка дозволяла будь-якому застосунку на телефоні непомітно перехопити контроль над робочим обліковим записом. Застосунку не потрібні були дозволи, а користувачеві не потрібно було нічого натискати. Microsoft виправила проблему, відстежувану як CVE-2026-80097.

Як працювала вразливість

В Android Authenticator виступає брокером для застосунків Microsoft, таких як Teams і Outlook. Коли застосунку потрібен вхід, він просить у Authenticator токен, а Authenticator має ретельно перевіряти, який саме застосунок запитує. Дослідник Ofek Levin виявив, що одну частину Authenticator можна було відкрити будь-яким застосунком, і вона довіряла тому, що застосунок казав про себе, замість перевірки викликача. Authenticator також виконував перевірку, але її можна було підробити, бо будь-який застосунок може прочитати дані, які він порівнював.

Що могли зробити зловмисники

За наявності одного робочого облікового запису, увійшовшого в Authenticator, тестовий застосунок отримав токени, які могли читати й надсилати електронну пошту, читати й змінювати файли, записи календаря та сайти SharePoint, а також надсилати повідомлення Teams від імені жертви. Видаючи себе за сам Authenticator, зловмисник також міг змінювати способи входу в обліковий запис, зокрема створювати й видаляти passkeys. Зловмисник, який додає passkey, може зберегти доступ після видалення шкідливого застосунку. Для атаки все одно потрібен був шкідливий застосунок на пристрої, тому когось треба було обманом змусити його встановити, але крадіжка була непомітною після того, як це сталося.

Виправлені версії та поради

Enclave повідомила про вразливість Microsoft через відповідальне розкриття. Microsoft підтвердила її й випустила виправлення, опубліковане 8 вересня 2026 року, з оцінкою CVSS 8.6. Уражені всі версії Authenticator для Android до 6.2606.4246. Користувачам слід оновитися з Google Play Store і перевірити, що встановлена версія 6.2606.4246 або новіша. Організації, що керують службовими пристроями, мають переконатися, що їхня MDM забезпечує цю мінімальну версію. Користувачам також слід бути обережними з інсталяцією застосунків збоку або незнайомих застосунків поза довіреними магазинами.

Джерела: Help Net Security · Techmeme