Una vulnerabilidad de Microsoft Authenticator para Android expuso tokens de sesión

Según TechRadar, una vulnerabilidad de Microsoft Authenticator para Android permitía que aplicaciones maliciosas obtuvieran tokens de sesión de aplicaciones de Microsoft. El fallo se identifica como CVE-2026-80097 y ya se ha corregido.

Investigadores de seguridad de Enclave descubrieron que una aplicación sin permisos especiales podía hacerse pasar por una aplicación de Microsoft instalada, como Microsoft Teams, y solicitar un token a Authenticator. La aplicación de prueba proporcionó un nombre de paquete, un identificador de cliente y una URI de redirección que Authenticator aceptó. El usuario no tenía que aprobar el inicio de sesión y, según los investigadores, el intento se ejecutaba en segundo plano sin avisar al usuario.

Con un token, los investigadores accedieron al correo electrónico, los chats de Teams y los calendarios. También pudieron modificar o enviar mensajes y alterar archivos y entradas de calendario. Además, informaron de que podían gestionar algunos métodos de autenticación, incluida la creación o eliminación de claves de acceso.

Enclave afirmó que no encontró pruebas de que el ataque se hubiera utilizado en la práctica. La empresa comunicó el problema al Microsoft Security Response Center, que confirmó la vulnerabilidad y publicó una solución. Microsoft indicó que las versiones de Android anteriores a la 6.2606.4246 están afectadas e instó a los usuarios a actualizar a la versión 6.2606.4246 o posterior a través de Google Play Store.