Munkahelyi fiókokhoz engedhetett hozzáférést az androidos Microsoft Authenticator hibája
Külön engedély és újabb koppintás nélkül is megszerezhette a munkahelyi fiók hozzáférési tokenjeit egy telefonra telepített rosszindulatú alkalmazás. Az Enclave kutatói az androidos Microsoft Authenticator alkalmazásban találták meg a hibát: a javítás már elérhető, a 6.2606.4246 előtti verziók érintettek.
A javítás már letölthető, a verziót is ellenőrizd
Ha Androidon használod a Microsoft Authenticator alkalmazást, frissítsd a Google Play áruházból, majd ellenőrizd, hogy legalább a bevezetőben megadott verzió fut-e. A beszámoló a céges készülékek kezelőinek azt is javasolja, hogy az eszközfelügyeleti rendszerrel kényszerítsék ki ezt a minimumot.
Az Enclave felelős hibabejelentés keretében értesítette a Microsoft vállalatot, amely megerősítette a problémát, és javítást adott ki. A CVE-2026-80097 azonosítójú sérülékenységhez kapcsolódó közlés 2026. szeptember 8-án jelent meg. A Microsoft 8,6-os CVSS-pontszámot rendelt hozzá: ez a műszaki súlyosságot jelölő skálán magas érték, önmagában azonban nem jelent aktív kihasználást.
Más alkalmazásnak adhatta ki magát a kártevő
Az Authenticator Androidon nemcsak belépési kódokat jelenít meg, hanem közvetítőként is működik. Amikor például a Teams vagy az Outlook bejelentkezést kér, tokent ad át nekik. Ez olyan digitális belépő, amely igazolja a bejelentkezett állapotot.
Ofek Levin, az Enclave kutatói programjának résztvevője azt találta, hogy az Authenticator egyik összetevőjét a készülék bármely alkalmazása elérhette. A tokenkérés elbírálásakor nem ellenőrizte megfelelően, valójában melyik program fordult hozzá: a kérésben megadott személyazonosságra hagyatkozott.
Volt ugyan ellenőrzés, de az csak a kérés adatait vetette össze a telefonra telepített valódi program adataival. Ezeket más szoftver is kiolvashatta. Így egy rosszindulatú app a Teams nevében kérhetett hozzáférést. Az Authenticator ismerte a tényleges hívót, ezt az információt mégsem használta fel a bizalmi döntéshez.
Levelekhez, fájlokhoz és a belépési módokhoz is hozzáfértek a tesztben
A kutatók próbájához egy munkahelyi fiók volt bejelentkezve az Authenticator alkalmazásban. Tesztprogramjuk olyan tokeneket szerzett, amelyekkel olvashatták a postafiókot, és levelet küldhettek belőle. A fájlokat, a naptárat és a SharePoint-webhelyeket is elérhették, illetve módosíthatták, továbbá az érintett nevében Teams-üzeneteket küldhettek.
Az Authenticator nevében fellépve a fiók bejelentkezési módjaihoz is hozzáfértek, beleértve jelkulcsok, vagyis passkey-k létrehozását és törlését. A beszámoló szerint a támadó saját jelkulcsának hozzáadása tartós hozzáférést adhatott: a rosszindulatú alkalmazás eltávolítása után is bejuthatott a fiókba.
A támadáshoz előbb egy rosszindulatú appot kellett telepíteni
A bemutatott módszer feltétele volt, hogy a felhasználó előzőleg telepítsen egy rosszindulatú programot az érintett telefonra. Ezután a tokenek megszerzéséhez már nem kellett külön engedély vagy felhasználói művelet: nem jelent meg jóváhagyási kérés vagy figyelmeztetés.
A forrás ezért a javítás telepítése mellett óvatosságot javasol az ismeretlen alkalmazásokkal, különösen a megbízható áruházakon kívülről származó programok telepítésével.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum