Microsoft исправила кражу рабочих токенов через Authenticator для Android
Microsoft устранила уязвимость CVE-2026-80097 в Microsoft Authenticator для Android, позволявшую вредоносному приложению без запрошенных разрешений выдать себя за доверенное приложение, например Teams, и получить токены рабочей учётной записи. Исправление выпущено в версии 6.2606.4246. Microsoft оценила проблему в 8,6 балла по шкале CVSS и отнесла её к категории Important.
Как работала подмена приложения
Authenticator на Android не ограничивается одноразовыми кодами. Он выступает брокером аутентификации: Teams, Outlook и другие приложения Microsoft могут запросить через него токен, подтверждающий вход пользователя в аккаунт.
Исследователь Офек Левин, работавший по программе fellowship компании Enclave, обнаружил, что компонент AccountChooserActivity можно было запустить из любого приложения на устройстве. Затем Authenticator формировал запрос токена из значений, переданных вызывающим приложением, включая заявленное имя клиента.
В демонстрации вредоносное приложение называло себя Teams. Проверка подписи должна была блокировать такую подмену, но сверяла подпись реального приложения, за которое выдавался запрос. Если Teams действительно был установлен, его подпись находилась и проверка проходила. По данным Enclave, Authenticator видел фактического инициатора запроса, но не использовал эту информацию при принятии решения о выдаче токена.
Какие данные могли оказаться доступны
В тестах Enclave запрос токенов Microsoft Graph от имени Teams давал права на чтение и отправку почты, чтение и запись файлов, а также чтение и запись календаря. Microsoft описывает последствие шире: успешный злоумышленник мог аутентифицироваться как вошедший пользователь и обращаться к его ресурсам.
Речь идёт о рабочей учётной записи, добавленной в Authenticator на конкретном устройстве, а не о других аккаунтах владельца. Контекст экосистемы Microsoft также важен: обновления безопасности Microsoft для корпоративной инфраструктуры показывает, что обновления безопасности компании могут затрагивать разные уровни корпоративной инфраструктуры, от Windows до мобильной идентификации.
Что известно об условиях атаки
Microsoft и Enclave расходятся в описании необходимости действий со стороны пользователя. Enclave сообщила, что её proof of concept получала токены без взаимодействия пользователя при наличии вошедшего аккаунта. В бюллетене Microsoft сказано, что атакующему требуется установить вредоносное приложение и убедить пользователя завершить поток аутентификации в Authenticator.
Microsoft заявила, что не наблюдала эксплуатации CVE-2026-80097 в атаках и что до выпуска исправления уязвимость публично не раскрывалась. Проблема вошла в сентябрьский Patch Tuesday 2026 года. По состоянию на 26 октября она не была включена в каталог CISA Known Exploited Vulnerabilities.
Что сделать организациям
Организациям следует обновить Microsoft Authenticator для Android до версии 6.2606.4246 или более новой и закрепить это требование средствами управления мобильными устройствами. Бюллетень Microsoft не уточняет, отменяет ли обновление токены, которые вредоносное приложение могло получить до установки исправления. Поэтому практический приоритет — обеспечить минимальную версию приложения на управляемых устройствах и проверить соблюдение политики обновлений для рабочих аккаунтов.