Microsoft Authenticator za Android imao je propust CVE-2026-80097, zakrpa je stigla u rujnu

Sigurnosni istraživač Ofek Levien objavio je detalje o propustu CVE-2026-80097 u Microsoft Authenticatoru za Android. Prema njegovu nalazu, zlonamjerna aplikacija može preko autentikacijskog proxya u aplikaciji glumiti drugu, već instaliranu Microsoftovu aplikaciju i tako doći do account tokena.

Microsoft Authenticator se koristi i kao TOTP generator, ali i kao alat za potvrdu prijave u Microsoftove servise i poslovne račune. Problem je bio u komponenti koju druge aplikacije mogu pozvati. Istraživači su utvrdili da aplikacija koja šalje zahtjev može sama upisati naziv aplikacije, package name, client ID i redirect URL.

Authenticator je provjeravao redirect URL prema identitetu koji je aplikacija tvrdila da koristi, ali nije provjeravao stvarni identitet aplikacije koja je pokrenula poziv. To je omogućilo prevaru. Kao primjer naveden je scenarij u kojem se zlonamjerna aplikacija predstavi kao Microsoft Teams, koji je već instaliran na uređaju. Ako su potpis i redirect URL vjerodostojni, Authenticator može prihvatiti zahtjev i vratiti stvarni token aplikaciji koja je zahtjev pokrenula.

Istraživači su testirali više takvih lažnih identiteta. U slučaju Microsoft Teamsa dobili su Microsoft Graph delegirane dozvole koje uključuju čitanje i slanje e-pošte, pristup datotekama, izmjenu kalendara, slanje poruka u Microsoft Teamsu i upravljanje sadržajem u SharePointu. Access tokeni mogu izravno otvarati te resurse, a refresh tokeni mogu služiti za dobivanje novih access tokena dok su valjani.

Prema nalazu, napadač bi mogao i mijenjati metode autentikacije korisnika te stvarati ili brisati passkeyje. To znači da problem nije ograničen samo na čitanje podataka, nego može zahvatiti i sigurnosne postavke računa.

Microsoft je propust zakrpao u verziji 6.2606.4246, objavljenoj 8. rujna. Prema istraživačima, ranjive su bile verzije Microsoft Authenticatora za Android od 6.0.0 do 6.2606.4246. Detalji su objavljeni tek nakon 50 dana, kako bi se korisnicima dalo vremena za nadogradnju.