В Microsoft Authenticator для Android исправили уязвимость, из-за которой вредоносное приложение могло получить токены доступа к рабочей учётной записи. Для атаки его нужно было установить на устройство, где пользователь уже вошёл в рабочий аккаунт через Authenticator. Исправление вошло в версию 6.2606.4246.
Authenticator не только создаёт коды многофакторной аутентификации, но и помогает другим приложениям Microsoft входить в аккаунт: передаёт им токены, подтверждающие авторизацию. Как пишет PC Watch, уязвимость CVE-2026-80097 позволяла приложению выдать себя за Teams и запросить такие токены. Authenticator распознавал приложение-отправителя, но не использовал эти сведения, чтобы проверить его подлинность.
При проверке компания Enclave получила таким способом токены доступа и обновления. По её данным, они давали права на работу с почтой, файлами OneDrive и SharePoint, календарём и сообщениями Teams. Enclave также сообщает, что при выдаче приложения за сам Authenticator можно было получить права, связанные с изменением способов входа и управлением ключами доступа. После установки вредоносного приложения дополнительных действий пользователя для атаки не требовалось.
Microsoft раскрыла уязвимость 8 сентября, а Enclave опубликовала подробности 23 октября. Оценка серьёзности — 8,6 из 10 по шкале CVSS. Пользователям Authenticator для Android стоит проверить, что приложение обновлено как минимум до версии 6.2606.4246.
Источник: PC Watch.
