Microsoft закрыла уязвимость Authenticator для Android, позволявшую красть токены
Изображение: OpenAI
Microsoft исправила уязвимость CVE-2026-80097 в Authenticator для Android, через которую вредоносное приложение могло получить токены рабочего аккаунта. Как сообщает The Hacker News, программе не требовались разрешения Android: она могла выдать себя за доверенное приложение Microsoft, например Teams.
Токены давали доступ только к рабочему аккаунту, в который пользователь вошёл в Authenticator. В тестах компании по информационной безопасности Enclave они позволяли:
- читать и отправлять почту;
- читать и изменять файлы;
- читать и изменять календари.
Authenticator брал имя приложения из запроса и при проверке использовал подпись настоящего Teams, установленного на устройстве. При этом Authenticator мог определить, какое приложение на самом деле отправило запрос, но не учитывал это при выдаче токена.
В Enclave сообщили, что им удалось получить токены без действий пользователя — достаточно было, чтобы тот уже вошёл в аккаунт. Microsoft, напротив, указывает, что после установки вредоносного приложения жертва должна пройти аутентификацию в Authenticator. Microsoft оценила уязвимость в 8,6 балла по CVSS (уровень «Important») и исправила её в сентябрьском Patch Tuesday 2026 года; по данным компании, в атаках уязвимость не использовалась.
Пользователям нужно обновить Authenticator для Android до версии 6.2606.4246 или новее. Microsoft не уточнила, аннулирует ли обновление токены, которые вредоносное приложение могло получить до установки исправления.
