Microsoft отстрани уязвимост с висока степен на опасност CVE-2026-80097 (CVSS 8.6) в Authenticator за Android, позволяваща на злонамерени приложения без декларирани разрешения да крадат токени за достъп до служебни акаунти поради неправилна автентикация в неговия брокерски компонент.

Microsoft класифицира уязвимостта като локално ескалиране на привилегии. Проблемът засяга устройства с Android с инсталиран Microsoft Authenticator и вписан служебен акаунт.

Изследователи от Enclave установиха, че ненадеждно приложение може да се представи за легитимно приложение на Microsoft, като например Microsoft Teams, и да поиска от Authenticator да издаде делегирани токени за тази самоличност.

Заявката не изисква одобрение от потребителя, идентификационни данни за акаунта или разрешения в Android извън самото инсталиране на устройството. В основата на проблема е експортирана Android активност с име com.microsoft.identity.client.AccountChooserActivity.

Други приложения могат да стартират експортирани активности на същото устройство. В този случай активността приема брокерска заявка от извикващото приложение и връща резултата от автентикацията след нейната обработка.

Ключовият проблем се състои в начина, по който Authenticator проверява заявилото приложение. Брокерската заявка включва декларираното име на пакета на приложението, клиентски идентификатор (client ID), пренасочващ URI (redirect URI), заявените обхвати (scopes) и дори стойност за UID на извикващия.

Уязвимост в Microsoft Authenticator

Изследователите от Enclave съобщават, че злонамереното приложение е могло да подаде тези полета, вместо те да бъдат обвързани с приложението, което действително е стартирало заявката.

Authenticator извършва валидация на пренасочващия URI адрес, свързана с цифровия подпис. Тази проверка обаче е насочена към самоличността на приложението, декларирана в самата заявка.

Ако атакуващият твърди, че е Teams, уязвимата логика проверява дали пренасочващият URI съвпада с реалния инсталиран пакет на Teams. Тъй като Teams е легитимно инсталиран, атакуващият може да изгради валиден пренасочващ URI от неговия публичен подпис на пакета и да премине проверката успешно.

Накратко, приложението проверява дали декларираната самоличност изглежда валидна, но не потвърждава дали реалният извикващ е приложението, за което се представя. Според изследването уязвимата активност може да идентифицира пакета, който я е стартирал, но не използва тази информация за управление на доверието.

Успешните заявки връщат данни за токени чрез пакета с резултати от активността (result bundle). Токените могат да включват токени за достъп (access tokens), токени за обновяване (refresh tokens), идентификационни токени (ID tokens) и клиентска информация.

В зависимост от имитирания клиент на Microsoft и заявените разрешения, въздействието може да се разпростре върху ресурси на Microsoft Graph, като пощенски кутии, календари, файлове в OneDrive, съдържание в SharePoint и услуги, свързани с Teams.

Изследователите демонстрираха риска чрез имитиране на множество приложения на Microsoft. Самоличност на Teams, заявяваща достъп до Microsoft Graph, може да получи делегирани разрешения, които ѝ позволяват да чете и изпраща поща, да изпраща съобщения, да осъществява достъп до файлове и да променя календари. Тази уязвимост е особено критична за организации, които използват устройства с Android за достъп до работни процеси в Microsoft 365.

Microsoft отстрани проблема в Microsoft Authenticator за Android, версия 6.2606.4246, пусната през юли 2026 г. Организациите и индивидуалните потребители трябва възможно най-скоро да обновят приложението през Google Play и да се уверят, че управляваните устройства работят с актуалната версия.

В бюлетина на Microsoft проблемът е описан като неправилна автентикация, която би могла да позволи на неоторизиран локален атакуващ да ескалира привилегии.

Уязвимостта подчертава и защо мобилните брокери на самоличност трябва да валидират реално извикващото приложение, включително неговата пакетна идентичност, UID и сертификат за подписване, вместо да разчитат на стойности в intent, контролирани от самото приложение.

Инцидентът подчертава постоянните усилия на Microsoft за защита на идентификационните данни за Entra на рутнати устройства с Android и отключени (jailbroken) устройства с iOS, където злонамереният софтуер и отслабените контроли за сигурност увеличават рисковете за корпоративната идентичност.

Организациите следва да преразгледат контролите за мобилни приложения, да наложат навременно инсталиране на корекции за сигурност чрез MDM или EMM платформи и при възможност да ограничат инсталирането на приложения от външни източници (sideloading).

Екипите по сигурност трябва също така да следят за необичайна активност в Microsoft Graph, неочаквано поведение при даване на съгласие и използване на токени от непознати Android устройства. Официалният бюлетин на Microsoft за CVE-2026-80097 трябва да се използва за насоки относно текущото отстраняване на проблема.