AuthMask
Az Enclave biztonsági kutatója, Ofek Levin AuthMask néven mutatott be egy súlyos sérülékenységet a Microsoft Authenticator androidos változatában. A CVE-2026-80097 azonosítójú, 8,6-os CVSS-pontszámú hiba lehetővé tette, hogy egy Android-jogosultságokat nem igénylő rosszindulatú alkalmazás hitelesítési tokeneket szerezzen a készüléken bejelentkezett vállalati Microsoft-fiókhoz.
A probléma az Authenticator egyik külső alkalmazások számára elérhető komponensében, az AccountChooserActivity működésében rejlett. A program ellenőrizte ugyan a kérelmező alkalmazás által megadott azonosítókat és digitális aláíráshoz kapcsolódó adatokat, de nem vetette össze azokat a ténylegesen hívó alkalmazás személyazonosságával.
A kutató ezt kihasználva Microsoft Teamsnek álcázott egy saját fejlesztésű alkalmazást. Az Authenticator a teszt során hozzáférési és frissítési tokeneket adott vissza, amelyekkel a támadó a felhasználó jogosultságain belül e-maileket olvashatott és küldhetett, valamint fájlokhoz, naptárakhoz, SharePoint-adatokhoz és Teams-funkciókhoz férhetett hozzá.
Más Microsoft-alkalmazások megszemélyesítésével a kutató hitelesítési módszerek és passkey-k kezeléséhez kapcsolódó jogosultságokat is megszerzett. A támadás a már bejelentkezett munkahelyi fiókot használta ki, és a tesztben nem igényelt újabb felhasználói jóváhagyást.
A sérülékenység kihasználásához a rosszindulatú alkalmazásnak már telepítve kellett lennie az érintett Android-eszközön. A Microsoft 2026. szeptember 8-án javította és nyilvánosságra hozta a hibát. Az Authenticator 6.2606.4246 előtti androidos verziói érintettek.
A vállalatoknak ellenőrizniük kell az alkalmazásverziókat, különösen a saját eszközüket munkára használó alkalmazottaknál, és indokolt esetben felül kell vizsgálniuk a gyanús bejelentkezéseket, tokenhasználatot és hitelesítési módosításokat. A többfaktoros hitelesítést biztosító alkalmazás sérülékenysége magát a már hitelesített munkamenetet is veszélyeztetheti.
