Wprowadzenie do problemu / definicja
Microsoft usunął poważną podatność w aplikacji Microsoft Authenticator dla systemu Android, która mogła umożliwić złośliwej aplikacji przejęcie tokenów uwierzytelniających powiązanych z kontem służbowym użytkownika. Problem dotyczył mechanizmu brokera tożsamości, czyli komponentu pośredniczącego w logowaniu do usług firmowych i wydawaniu tokenów dostępowych dla aplikacji z ekosystemu Microsoft.
W praktyce oznacza to, że zagrożenie nie ograniczało się do kodów MFA. Luka mogła wpływać na cały proces uwierzytelniania aplikacji biznesowych korzystających z Microsoft 365, Entra ID i powiązanych usług chmurowych.
W skrócie
- Podatność otrzymała identyfikator CVE-2026-80097 oraz ocenę CVSS 8,6.
- Zagrożone były wersje Microsoft Authenticator dla Androida wcześniejsze niż 6.2606.4246.
- Atak mógł zostać przeprowadzony przez złośliwą aplikację bez dodatkowych uprawnień systemowych.
- Możliwe było podszycie się pod zaufane aplikacje Microsoft i uzyskanie tokenów konta służbowego.
- Microsoft poinformował, że nie ma dowodów na aktywne wykorzystanie luki, ale zalecił natychmiastową aktualizację.
Kontekst / historia
Microsoft Authenticator od dawna nie pełni wyłącznie roli generatora jednorazowych kodów. Na urządzeniach z Androidem aplikacja działa również jako broker uwierzytelniania, a więc centralny element zaufania dla wielu aplikacji i usług biznesowych Microsoft. To sprawia, że każda słabość w jej logice bezpieczeństwa może mieć znacznie szersze skutki niż w przypadku klasycznej aplikacji MFA.
Szczegóły problemu opisał badacz Ofek Levin w ramach prac prowadzonych przez firmę Enclave. Publicznie dostępne informacje wskazują, że Microsoft przypisał luce identyfikator CVE-2026-80097 we wrześniu 2026 roku, a poprawka została dostarczona w wersji 6.2606.4246. Błąd dotyczył lokalnego podniesienia uprawnień wynikającego z nieprawidłowej weryfikacji żądań inicjowanych przez inną aplikację na tym samym urządzeniu.
Analiza techniczna
Istota podatności sprowadzała się do sposobu obsługi żądań tokenów pochodzących od aplikacji uruchomionych na smartfonie. Jeden z eksportowanych komponentów aplikacji mógł zostać wywołany przez dowolny program, który następnie przekazywał własne parametry wejściowe i deklarował, że działa w imieniu legalnej aplikacji Microsoft.
Kluczowy problem polegał na tym, że mechanizm weryfikacji ufał informacjom zadeklarowanym przez aplikację wywołującą, zamiast jednoznacznie ustalić jej rzeczywistą tożsamość na poziomie systemowym. W rezultacie złośliwa aplikacja mogła podszyć się pod zaufany program, o ile ten był zainstalowany na urządzeniu. Mechanizm sprawdzania podpisu nie zatrzymywał ataku, ponieważ odnosił się do podpisu legalnej aplikacji, pod którą podszywało się malware, a nie do faktycznego nadawcy żądania.
W opublikowanych testach badacze uzyskali tokeny Microsoft Graph, które mogły zapewnić szeroki dostęp do danych służbowych użytkownika. Obejmowało to między innymi pocztę, pliki oraz kalendarz. Z perspektywy organizacji oznaczało to ryzyko przejęcia sesji w usługach chmurowych bez konieczności łamania hasła ani obchodzenia klasycznych mechanizmów MFA.
W publicznych opisach pojawiła się rozbieżność dotycząca poziomu wymaganej interakcji użytkownika. Microsoft wskazywał na konieczność nakłonienia ofiary do ukończenia przepływu logowania, natomiast badacze opisywali scenariusz, w którym wystarczająca była obecność zalogowanego konta służbowego na urządzeniu. Niezależnie od tej różnicy wspólnym warunkiem ataku była instalacja złośliwej aplikacji na telefonie ofiary.
Konsekwencje / ryzyko
Skutki tej podatności są szczególnie istotne dla organizacji korzystających z Microsoft 365, Entra ID oraz mobilnych aplikacji Microsoft. Przejęty token dostępu lub token odświeżania może umożliwiać realne działania w imieniu użytkownika, w tym dostęp do poufnej korespondencji, dokumentów, harmonogramów i danych operacyjnych.
Najbardziej narażone są środowiska dopuszczające model BYOD, słabo kontrolujące instalację aplikacji mobilnych lub niewymuszające minimalnych wersji oprogramowania na urządzeniach z Androidem. Dodatkowym wyzwaniem jest wykrywanie incydentu, ponieważ wykorzystanie prawidłowego tokenu może przypominać legalną aktywność użytkownika i utrudniać rozpoznanie przejętej sesji.
Mimo braku informacji o aktywnej eksploatacji w rzeczywistych kampaniach, sama możliwość kradzieży tokenów przez aplikację bez specjalnych uprawnień znacząco podnosi profil ryzyka. To kolejny przykład, jak zaufanie między aplikacjami mobilnymi może stać się słabym ogniwem całego łańcucha uwierzytelniania.
Rekomendacje
Priorytetem powinno być sprawdzenie, czy wszystkie zarządzane urządzenia z Androidem korzystają z Microsoft Authenticator w wersji 6.2606.4246 lub nowszej. W środowiskach MDM i UEM warto wymusić minimalną wersję aplikacji i blokować dostęp do zasobów firmowych z urządzeń niespełniających wymagań zgodności.
- Wymusić aktualizację Microsoft Authenticator do poprawionej wersji.
- Ograniczyć instalację niezweryfikowanych aplikacji, szczególnie spoza oficjalnych sklepów.
- Stosować polityki allowlist dla aplikacji biznesowych.
- Monitorować nowe instalacje oraz nietypowe użycie tokenów i interfejsów Microsoft Graph.
- Analizować anomalie dostępu do poczty, plików, kalendarza i API z urządzeń mobilnych.
- W przypadku podejrzenia kompromitacji unieważnić sesje i wymusić ponowne uwierzytelnienie.
Zespoły SOC oraz administratorzy tożsamości powinni traktować aplikacje brokerów uwierzytelniania jako krytyczny element infrastruktury bezpieczeństwa. Oznacza to ich priorytetowe aktualizowanie, uwzględnianie w modelu zagrożeń dla środowiska mobilnego i objęcie dodatkowymi mechanizmami kontroli.
Podsumowanie
CVE-2026-80097 pokazuje, że aplikacje pełniące rolę brokera tożsamości są atrakcyjnym celem, ponieważ pojedynczy błąd w weryfikacji żądania może przełożyć się na przejęcie dostępu do wielu usług biznesowych. W tym przypadku problem dotyczył Microsoft Authenticator na Androidzie i umożliwiał złośliwym aplikacjom podszycie się pod legalne aplikacje Microsoft w celu uzyskania tokenów kont służbowych.
Dla organizacji korzystających z mobilnego dostępu do Microsoft 365 to ważne przypomnienie, że bezpieczeństwo tożsamości na urządzeniach końcowych wymaga takiej samej uwagi jak ochrona stacji roboczych i serwerów. Kluczowe znaczenie mają szybkie aktualizacje, polityki zarządzania urządzeniami, kontrola aplikacji oraz aktywne monitorowanie nadużyć tokenów.
Źródła
- Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens — https://thehackernews.com/2026/10/microsoft-authenticator-flaw-let.html
- Enclave: AuthMask: We Made Microsoft Authenticator Hand Over Tokens to an App With Zero Permissions — https://enclave.ai/blog/authmask-we-made-microsoft-authenticator-hand-over-tokens
- GitHub Advisory Database: CVE-2026-80097 — https://github.com/advisories/GHSA-wp3h-mh9h-f6cm
- OpenCVE: CVE-2026-80097 — https://app.opencve.io/cve/CVE-2026-80097