Authenticator za Android ispravlja propust u tokenima radnih naloga
Microsoft je ispravio ranjivost CVE-2026-80097 u aplikaciji Microsoft Authenticator za Android, koja je zlonamernoj aplikaciji bez traženih dozvola mogla omogućiti da se predstavi kao pouzdana Microsoft aplikacija, poput Teamsa, i pribavi tokene radnog naloga. Ispravka je dostupna u verziji 6.2606.4246, a Microsoft je propust ocenio sa 8,6 na CVSS skali i označio ga kao važan.
Kako je dolazilo do izdavanja tokena
Authenticator na Androidu nije samo generator jednokratnih šestocifrenih kodova. Kada Teams, Outlook ili druga Microsoft aplikacija prijavljuje korisnika, može da zatraži od Authenticatora posredovanje pri prijavi. Aplikacija tada vraća token, digitalnu potvrdu da je korisnik prijavljen, koja se koristi za pristup resursima naloga.
Istraživač Ofek Levin, u okviru programa kompanije Enclave, utvrdio je da je svaka aplikacija na uređaju mogla da pokrene komponentu AccountChooserActivity. Ta komponenta je zahtev za token sastavljala iz vrednosti koje joj dostavlja aplikacija koja poziva funkciju, uključujući ime aplikacije za koju se tvrdilo da traži prijavu.
Napadačka aplikacija mogla je zato da navede da je Teams. Provera digitalnog potpisa trebalo je da spreči takvo lažno predstavljanje, ali je proveravala potpis stvarne aplikacije koja se oponaša. Ako je Teams zaista instaliran, njegov važeći potpis bio je dostupan i provera je prolazila. Authenticator je mogao da utvrdi koja je aplikacija zaista poslala zahtev, ali taj podatak nije korišćen za odluku o izdavanju tokena.
Obim pristupa i različiti navodi o interakciji
Enclave je u testovima, predstavljajući se kao Teams i tražeći tokene za Microsoft Graph, dobio dozvole za čitanje i slanje e-pošte, čitanje i upis fajlova, kao i čitanje i upis kalendara. Microsoft opštije navodi da bi uspešan napadač mogao da se prijavi kao korisnik i pristupi njegovim resursima. Rizik se odnosi na radni nalog prijavljen u Authenticatoru na tom uređaju, a ne na druge naloge.
Postoji razlika u opisu potrebne interakcije korisnika. Enclave navodi da je njegov dokaz koncepta vraćao tokene bez interakcije, osim postojanja prijavljenog naloga. Microsoft u bezbednosnom izveštaju navodi da napadač mora da instalira zlonamernu aplikaciju i navede korisnika da završi tok autentikacije u Authenticatoru. CVSS ocena takođe podrazumeva interakciju korisnika.
Microsoft kaže da propust nije iskorišćen u napadima i da nije bio javno otkriven pre ispravke. Ranjivost je bila deo bezbednosnih ispravki iz septembra 2026. godine i 26. oktobra 2026. nije se nalazila u katalogu CISA Known Exploited Vulnerabilities. Širi kontekst Microsoftovih bezbednosnih propusta daje i Microsoftove ranjivosti u Windows sistemima, koji pokazuje da pravovremeno upravljanje ispravkama ostaje važno za zaštitu poslovnih sistema.
Koraci za organizacije
Organizacije treba da ažuriraju Microsoft Authenticator za Android na verziju 6.2606.4246 ili noviju i da kroz sistem za upravljanje mobilnim uređajima zahtevaju najmanju dozvoljenu verziju aplikacije. Microsoftov izveštaj ne navodi da li ažuriranje opoziva tokene koje je zlonamerna aplikacija možda ranije pribavila, pa dostupne informacije to ne razjašnjavaju.
Praktičan poslovni zaključak je da se verzija Authenticatora proveri na upravljanim Android uređajima, sprovede obavezno ažuriranje i proceni izloženost radnih naloga na uređajima na kojima je instaliranje aplikacija manje strogo kontrolisano.