Безопасность 27 октября 2026, 10:27 МСК

В Microsoft Authenticator для Android закрыта уязвимость CVE-2026-80097 с кражей токенов

Microsoft исправила уязвимость в Authenticator для Android, из-за которой любое установленное приложение могло незаметно получить токены доступа к рабочей учётной записи.

Уязвимость обнаружил Офек Левин в рамках стипендиальной программы Enclave. Authenticator на Android выступает брокером входа для Teams, Outlook и других сервисов Microsoft и выдаёт им токены. Один из его компонентов был доступен любому приложению, а проверка запросов оказалась слабой: система сверяла данные с характеристиками настоящего Teams, но эти данные может прочитать любое приложение. Поэтому вредоносная программа могла выдать себя за Teams.

Тестовое приложение исследователей получило токены, которые позволяли читать и отправлять почту, работать с файлами, календарём и SharePoint, писать в Teams от имени пользователя. Выдавая себя за сам Authenticator, оно могло менять способы входа, в том числе создавать и удалять passkeys. Добавленный злоумышленником ключ доступа сохранил бы доступ к учётной записи даже после удаления вредоносного приложения. Для атаки нужно было убедить пользователя установить такое приложение, но дальше она шла без запросов и предупреждений.

Enclave сообщила о проблеме в рамках ответственного раскрытия, Microsoft подтвердила её и выпустила исправление 8 сентября. Уязвимость получила рейтинг 8.6 по CVSS и затрагивает все версии Authenticator для Android до 6.2606.4246. Пользователям нужно обновить приложение через Google Play, а администраторам — проверить, что MDM требует эту версию или новее.

• CVE-2026-80097, рейтинг CVSS 8.6
• Затронуты версии Authenticator для Android до 6.2606.4246
• Исправление опубликовано 8 сентября