Microsoft Authenticator для Android містив уразливість, що дозволяла викрадати токени доступу

Дослідник програми Enclave Офек Левін (Ofek Levin) виявив серйозну проблему безпеки в додатку Microsoft Authenticator для Android. Уразливість дозволяла будь-якому сторонньому застосунку на пристрої без додаткових дозволів чи дій користувача отримувати доступ до робочого облікового запису.

Механізм уразливості

На платформі Android додаток Microsoft Authenticator працює як брокер автентифікації. Коли програми на зразок Teams чи Outlook вимагають входу, вони надсилають запит до Authenticator, який у відповідь повертає цифровий токен сесії.

З'ясувалося, що один із компонентів Authenticator міг відкриватися будь-яким додатком на пристрої. Під час запиту токена служба Authenticator не перевіряла справжнього ініціатора виклику, а довіряла даним, які застосунок передавав про себе сам. Authenticator зіставляв отримані деталі з параметрами справжнього встановленого Teams, однак будь-яка програма в системі могла прочитати ці публічні відомості. Фактично система знала реальний ідентифікатор того, хто звертається, проте не використовувала його для авторизації запиту.

Наслідки експлуатації

Використовуючи тестовий додаток, дослідники змогли отримати токени, які давали змогу:

• читати та надсилати електронну пошту зі скриньки жертви;
• переглядати та змінювати файли, календар і сайти SharePoint;
• надсилати повідомлення в Teams від імені користувача;
• видаючи себе за сам Authenticator, змінювати методи входу до акаунта, зокрема створювати та видаляти passkeys.

Додавання власного passkey дозволяє зловмиснику зберігати доступ до облікового запису навіть після видалення шкідливого додатка з телефона. Для реалізації атаки потрібна наявність на пристрої сторонньої шкідливої програми, але сам процес викрадення відбувався без відображення попереджень чи запитів до користувача.

Виправлення

Компанія Microsoft підтвердила вразливість після повідомлення від Enclave і випустила оновлення. Проблема відстежується за ідентифікатором CVE-2026-80097 та оцінена в 8,6 бала за шкалою CVSS.

Уразливими є всі збірки Microsoft Authenticator для Android до версії 6.2606.4246. Користувачам необхідно оновити застосунок через Google Play Store до версії 6.2606.4246 або новішої, а адміністраторам корпоративних пристроїв рекомендовано перевірити політики MDM.