O vulnerabilitate reparată de Microsoft în Authenticator pentru Android putea permite unei aplicații malițioase, chiar și fără permisiuni, să se prezinte drept Teams și să obțină tokenuri de autentificare pentru contul de serviciu al victimei. Microsoft a publicat remedierea pentru CVE-2026-80097, evaluată cu 8,6 din 10, însă compania și cercetătorii diferă în privința interacțiunii necesare din partea utilizatorului.
Brokerul de autentificare a acceptat identitatea declarată de aplicație
Pe Android, Microsoft Authenticator nu se limitează la generarea codurilor de verificare din șase cifre. Aplicația funcționează și ca broker de autentificare: când Teams, Outlook sau o altă aplicație Microsoft încearcă să conecteze utilizatorul, îi solicită un token digital care dovedește că acesta s-a autentificat.
Problema era în AccountChooserActivity, o componentă pe care orice aplicație de pe dispozitiv o putea porni. Potrivit cercetării publicate de firma de securitate Enclave, aplicația atacatorului furniza valorile folosite la construirea solicitării de token, inclusiv numele aplicației pe care pretindea că o reprezintă; declarându-se Teams, putea convinge brokerul să continue procesul.
Sursă foto: blogger.googleusercontent.com
O verificare a semnăturii aplicației ar fi trebuit să oprească impostura, dar controlul valida semnătura reală a aplicației invocate în solicitare. Cum Teams era instalat legitim pe dispozitiv, semnătura sa putea fi citită, iar verificarea trecea; Enclave a constatat că Authenticator putea identifica și aplicația care inițiase efectiv cererea, dar nu folosea această informație pentru a decide dacă să elibereze tokenul.
Tokenurile puteau deschide e-mailul, fișierele și calendarul
În testele Enclave, aplicația care se dădea drept Teams a cerut tokenuri Microsoft Graph și a primit permisiuni extinse: citirea și trimiterea e-mailurilor, precum și citirea și modificarea fișierelor și calendarelor. Cercetătorii au raportat că aceste tokenuri ofereau acces deplin la resursele contului de serviciu conectat în Authenticator.
Microsoft descrie consecința mai general: un atacator care exploata vulnerabilitatea putea să se autentifice ca utilizatorul deja conectat și să acceseze resursele acestuia. Tokenurile vizau contul de serviciu prezent în Authenticator pe acel dispozitiv, nu și alte conturi ale victimei.
Există însă o diferență importantă între relatări. Enclave spune că demonstrația sa a obținut tokenuri fără interacțiunea utilizatorului, în afara existenței unui cont deja conectat; Microsoft afirmă că atacul necesita instalarea aplicației malițioase și convingerea utilizatorului să finalizeze un flux de autentificare în Authenticator.
Evaluarea CVSS, care indică necesitatea interacțiunii utilizatorului, este în acord cu descrierea Microsoft, nu cu rezultatul raportat de cercetători.
Cronologia remedierii și pașii pentru utilizatori
Cercetarea îi aparține lui Ofek Levin, care a lucrat printr-un program de fellowship la Enclave; detaliile tehnice au fost publicate pe 23 octombrie 2026. Microsoft a atribuit identificatorul CVE-2026-80097 pe 8 septembrie, a evaluat vulnerabilitatea drept „Important” și a inclus-o în actualizările Patch Tuesday din septembrie 2026.
Compania afirmă că vulnerabilitatea nu a fost exploatată în atacuri și nu fusese dezvăluită public înainte de remediere, iar exploatarea este considerată „mai puțin probabilă”. Problema nu se numără printre cele două vulnerabilități Windows semnalate în acea lună ca fiind deja folosite în atacuri și, la 26 octombrie 2026, nu apărea în catalogul CISA Known Exploited Vulnerabilities din SUA.
Remedierea este actualizarea Microsoft Authenticator pentru Android la versiunea 6.2606.4246 sau una ulterioară, conform recomandării Microsoft. Organizațiile care gestionează telefoane Android pot impune versiunea minimă prin sistemele de administrare a dispozitivelor; recomandarea practică este să verifice conformitatea și să actualizeze aplicația pe toate dispozitivele de serviciu.
Ce ar trebui să verifice organizațiile din România și UE
Pentru companiile și instituțiile din România și din UE care folosesc conturi Microsoft pentru e-mail, documente și colaborare, incidentul arată că un broker de autentificare mobil poate deveni o țintă cu acces la mai multe servicii simultan. Riscul descris privește contul de serviciu conectat pe telefon, astfel încât dispozitivele personale folosite pentru muncă intră și ele în aria de verificare.
Echipele IT ar trebui să inventarieze dispozitivele Android care folosesc Authenticator, să impună versiunea corectată prin administrarea mobilă și să comunice utilizatorilor să instaleze actualizarea. În paralel, organizațiile pot verifica jurnalele de autentificare și acces la resurse pentru activități neobișnuite, fără a presupune că simpla instalare a remedierii confirmă sau infirmă o compromitere anterioară.
Un punct rămâne neclar în informațiile publicate: Microsoft nu precizează dacă actualizarea invalidează tokenurile pe care o aplicație malițioasă le-ar fi putut obține înainte de instalarea patch-ului. În consecință, administratorii care suspectează o expunere ar trebui să consulte recomandările Microsoft pentru sesiuni și tokenuri și să evalueze separat revocarea accesului; sursele disponibile nu confirmă că actualizarea face acest lucru automat.
