MicrosoftИсследователь Офек Левин из программы Enclave Fellowship опубликовал подробности уязвимости AuthMask в Microsoft Authenticator для Android. Ошибка позволяла вредоносному приложению без разрешений выдавать себя за установленное приложение Microsoft и получать токены рабочей учётной записи. В тестах исследователя это открывало доступ к почте, файлам и календарю пользователя. Уязвимость CVE-2026-80097 уже исправлена: необходимо установить Microsoft Authenticator версии 6.2606.4246 или новее.
Какие версии Microsoft Authenticator нужно обновить
Microsoft опубликовала бюллетень CVE-2026-80097 , в рамках сентябрьского выпуска исправлений безопасности. Уязвимость получила оценку 8,6 балла по CVSS 3.1, что соответствует высокому уровню опасности; собственная категория Microsoft – Important.
Согласно актуальной записи CVE, затронуты версии Microsoft Authenticator для Android начиная с 6.0.0 и до 6.2606.4246, не включая последнюю. Исправление содержится в версии 6.2606.4246 и последующих выпусках.
Обновите приложение через Google Play или используйте страницу загрузки на нашем сайте. После обновления проверьте номер установленной версии в системных сведениях о приложении.
Скачать Microsoft Authenticator для Android
Атака требует наличия вредоносного приложения на том же устройстве. В сценарии Enclave на смартфоне также были установлены Authenticator с выполненным входом в рабочую учётную запись и подлинное приложение Microsoft, за которое выдавал себя вредоносный клиент, например Teams.
Почему Authenticator мог выдать токены чужому приложению
Microsoft Authenticator для Android не только создаёт одноразовые коды. В корпоративных сценариях он также работает как посредник при входе в приложения Microsoft: обрабатывает запрос авторизации и возвращает приложению токены. Такой механизм поддерживает единый вход между приложениями, как описано в документации Microsoft.
Токен доступа – цифровые данные, с помощью которых приложение обращается к защищённым ресурсам от имени пользователя. Доступ ограничивается полномочиями, предоставленными этому токену, поэтому его утечка может открыть доступ к данным без передачи самого пароля.
В исследовании Enclave, опубликованном 23 октября, описан доступный другим приложениям компонент com.microsoft.identity.client.AccountChooserActivity. Вредоносная программа могла запустить его и передать параметры запроса, включая имя приложения, идентификатор клиента, адрес возврата результата и запрашиваемые права.
Проверка подписи не связывала эти сведения с реальным отправителем. Authenticator находил подпись установленного приложения, за которое выдавал себя вызывающий клиент, и проверял соответствие заявленного адреса возврата этой подписи. Поскольку подлинный Teams был установлен, его настоящая подпись позволяла сформировать запрос, проходивший проверку.
По данным Enclave, компонент получал и настоящее имя вызывающего приложения, однако использовал его только для учёта параллельных запросов. При принятии решения о доверии учитывались сведения, которые передавал сам отправитель. В результате токены возвращались вредоносной программе, запустившей компонент.
Какие данные и права удалось получить в тестах
Enclave сообщила о трёх вариантах запроса с разными наборами прав. При выдаче себя за Teams и обращении к Microsoft Graph исследователь получил делегированный доступ к почте, файлам и календарю рабочей учётной записи.
| Вариант в исследовании | Полученные права |
|---|---|
| Teams, запрос к Microsoft Graph | Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send, Sites.ReadWrite.All и другие права. Среди возможностей – чтение и изменение почты, отправка писем, работа с файлами и календарями. |
| Запрос для сервиса чатов Teams api.spaces.skype.com | user_impersonation – обращения к сервису от имени пользователя. |
| Собственный клиент Authenticator | UserAuthenticationMethod.ReadWrite, Passkey.Create и Passkey.Delete – права, связанные с методами аутентификации и созданием или удалением ключей доступа. |
В возвращаемом результате исследователь обнаружил access_token, refresh_token, id_token и client_info в виде, который вредоносное приложение могло прочитать. Наличие токена обновления также имеет значение при оценке последствий утечки.
Токен обновления – данные, позволяющие приложению запрашивать новые токены доступа после истечения срока действия предыдущих. Такие токены требуют защиты и могут быть отозваны пользователем или администратором.
Речь идёт о рабочей учётной записи, в которую выполнен вход в Authenticator на затронутом устройстве, и о доступных ей ресурсах. Результаты исследования не означают автоматического доступа ко всем учётным записям, добавленным в приложение, или ко всем данным организации.
Нужно ли пользователю подтверждать вход
В описаниях Microsoft и Enclave есть существенное расхождение. Исследователь утверждает, что в его тестах токены возвращались без дополнительных действий пользователя: было достаточно установленного Authenticator с уже выполненным входом в рабочую учётную запись.
Microsoft указывает другие условия: злоумышленник должен установить и запустить вредоносное приложение на затронутом Android-устройстве, а затем убедить пользователя пройти процедуру аутентификации в Authenticator. Необходимость взаимодействия с пользователем также отражена в оценке CVSS параметром UI:R.
Поэтому описывать CVE-2026-80097 как безусловную атаку без участия пользователя некорректно. Подтверждённый результат Enclave относится к условиям её эксперимента; официальный бюллетень Microsoft предусматривает участие пользователя.
Известно ли об использовании уязвимости в атаках
Microsoft отмечает, что эксплуатация уязвимости не зафиксирована, а вероятность её использования оценивает как менее высокую – Exploitation Less Likely. В бюллетене также указано, что на момент выпуска исправления уязвимость не была публично раскрыта.
По состоянию на CVE-2026-80097 отсутствует в проверенной актуальной версии каталога известных эксплуатируемых уязвимостей CISA KEV. Отсутствие записи в каталоге не гарантирует, что попыток эксплуатации не было.
Что сделать пользователям и администраторам
- Обновить Authenticator. Минимальная версия с исправлением – 6.2606.4246. Предпочтительно установить актуальный доступный выпуск.
- Проверить управляемые устройства. Организациям следует убедиться, что на Android-устройствах сотрудников не осталось затронутых версий, и организовать обновление через используемую систему управления.
- Сообщить о подозрении на компрометацию. Если на устройстве обнаружено вредоносное приложение или есть признаки постороннего доступа к рабочей учётной записи, обратитесь к администратору организации.
В бюллетене нет подтверждения, что установка исправления автоматически аннулирует токены, которые злоумышленник мог получить ранее. При подозрении на утечку обновление приложения следует дополнить разбором инцидента и проверкой доступа к учётной записи.
Для таких случаев Microsoft описывает процедуры отзыва доступа в Microsoft Entra ID. Администратор может отозвать токены обновления и принять другие меры в зависимости от ситуации. Уже выданные токены доступа и сеансы отдельных приложений могут прекращать действовать не одновременно, поэтому мгновенное завершение всех сеансов гарантировать нельзя.
Вывод
AuthMask показывает, почему для защиты корпоративной учётной записи важно обновлять и само приложение-аутентификатор: ошибка в посреднике входа могла открыть доступ к рабочим данным даже приложению без разрешений Android. Пользователям затронутых версий нужно установить Microsoft Authenticator 6.2606.4246 или новее. При подозрении на уже произошедшую кражу токенов потребуется отдельная проверка учётной записи вместе с администратором.
