Sårbarhet i Microsoft Authenticator för Android exponerade sessionstoken

Enligt TechRadar gjorde en sårbarhet i Microsoft Authenticator för Android det möjligt för skadliga appar att få sessionstoken till Microsoft-appar. Sårbarheten spåras som CVE-2026-80097 och har åtgärdats.

Säkerhetsforskare på Enclave upptäckte att en app utan särskilda behörigheter kunde utge sig för att vara en installerad Microsoft-app, till exempel Microsoft Teams, och begära en token från Authenticator. Testappen skickade ett paketnamn, ett klient-ID och en omdirigerings-URI som Authenticator godkände. Användaren behövde inte godkänna inloggningen, och forskarna uppgav att försöket kördes i bakgrunden utan att användaren fick någon avisering.

Med en token kom forskarna åt e-post, Teams-chattar och kalendrar. De kunde också ändra eller skicka meddelanden och ändra filer och kalenderposter. De uppgav dessutom att de kunde hantera vissa autentiseringsmetoder, bland annat skapa eller ta bort passnycklar.

Enclave uppgav att de inte hittade några belägg för att attacken hade använts i verkligheten. Företaget rapporterade problemet till Microsoft Security Response Center, som bekräftade sårbarheten och släppte en åtgärd. Microsoft uppgav att Android-versioner äldre än 6.2606.4246 är berörda och uppmanade användare att uppdatera till version 6.2606.4246 eller senare via Google Play Store.