Microsoft Authenticator'ın Android sürümündeki açık oturum belirteçlerini açığa çıkardı

TechRadar'a göre, Microsoft Authenticator'ın Android sürümündeki bir güvenlik açığı, kötü amaçlı uygulamaların Microsoft uygulamaları için oturum belirteçleri almasına imkân verdi. CVE-2026-80097 olarak izlenen açık giderildi.

Enclave'deki güvenlik araştırmacıları, özel izinleri olmayan bir uygulamanın Microsoft Teams gibi yüklü bir Microsoft uygulamasını taklit ederek Authenticator'dan belirteç isteyebildiğini buldu. Deneme uygulaması, Authenticator'ın kabul ettiği bir paket adı, istemci kimliği ve yönlendirme URI'si sağladı. Kullanıcının oturum açma girişimini onaylaması gerekmiyordu; araştırmacılar, girişimin arka planda ve kullanıcıya bildirim gönderilmeden gerçekleştiğini belirtti.

Araştırmacılar, belirteçle e-postalara, Teams sohbetlerine ve takvimlere erişti; mesajları değiştirebildiklerini veya gönderebildiklerini, dosyaları ve takvim kayıtlarını değiştirebildiklerini bildirdi. Ayrıca, parola anahtarları oluşturup silmek de dâhil olmak üzere bazı kimlik doğrulama yöntemlerini yönetebildiklerini aktardılar.

Enclave, saldırının gerçek dünyada kullanıldığına dair bir kanıt bulmadığını söyledi. Sorunu Microsoft Security Response Center'a bildirdi; merkez açığı doğrulayıp bir düzeltme yayımladı. Microsoft, 6.2606.4246'dan eski Android sürümlerinin etkilendiğini belirtti ve kullanıcıları Google Play Store üzerinden 6.2606.4246 veya daha yeni bir sürüme güncellemeye çağırdı.