Microsoft hat eine Schwachstelle in Authenticator für Android behoben, durch die eine schädliche App Authentifizierungs-Token erlangen und im Namen des betroffenen Nutzers auf Ressourcen zugreifen könnte. Laut einem Bericht von The Hacker News zeigte eine Untersuchung den Zugriff auf E-Mails, Dateien und Kalender eines geschäftlichen Kontos. In Microsofts Sicherheitshinweis ist jedoch ein Authentifizierungsschritt des Nutzers als Voraussetzung für die Ausnutzung genannt.
Die Schwachstelle (CVE-2026-80097) betrifft eine unzureichende Authentifizierung und wird von Microsoft als „wichtig“ eingestuft. Das Unternehmen veröffentlichte den Sicherheitshinweis am 8. September 2026 und korrigierte die Build-Nummer der Behebung am 15. September. Laut The Hacker News ist die korrigierte Version Microsoft Authenticator für Android 6.2606.4246. Nutzer sollten auf diese Version oder eine neuere aktualisieren.
Technische Details veröffentlichte Enclave am 23. Oktober. Die Untersuchung stammte von Ofek Levin im Rahmen des Fellowship-Programms der Sicherheitsfirma, berichtete The Hacker News. Microsoft nennt Levin und Enclave in seinem Sicherheitshinweis.
Authenticator kann als Anmeldevermittler für andere Microsoft-Apps fungieren: Eine App fordert eine Authentifizierung an, und der Vermittler gibt ein Token zurück, mit dem sie auf die Ressourcen des Nutzers zugreifen kann. Die gemeldete Schwachstelle erlaubte einer schädlichen App ohne Berechtigungen, sich in diesem Austausch als vertrauenswürdige Microsoft-App auszugeben.
Laut dem Bericht von The Hacker News über Enclaves Ergebnisse konnte die schädliche App eine exponierte Authenticator-Komponente namens AccountChooserActivity starten. Authenticator erstellte dann eine Token-Anfrage mit vom Angreifer gelieferten Werten, darunter die Identität der nachgeahmten App.
Eine Signaturprüfung stellte nicht fest, welche App die Anfrage tatsächlich gestellt hatte. Im Teams-Beispiel der Forscher prüfte sie gegen die echte Teams-Signatur, die verfügbar war, weil Teams auf dem Gerät installiert war. Laut den Forschern konnte Authenticator die tatsächlich anfragende App erkennen, nutzte diese Information aber nicht, um zu entscheiden, ob ein Token ausgegeben wird.
In Enclaves Tests lieferte die Nachahmung von Teams und die Anforderung von Microsoft-Graph-Token unter anderem Berechtigungen zum Lesen und Senden von E-Mails, zum Lesen und Schreiben von Dateien sowie zum Lesen und Schreiben von Kalendern. Dem Bericht zufolge betraf dies das geschäftliche Konto, das auf diesem Gerät in Authenticator angemeldet war, nicht andere Konten.
Die Darstellungen unterscheiden sich bei der Nutzerinteraktion. Enclave berichtete, dass sein Proof of Concept Token zurückgab, ohne dass über ein angemeldetes Konto hinaus eine Interaktion nötig war. Laut Microsofts Sicherheitshinweis muss ein Angreifer eine schädliche Anwendung auf einem betroffenen Android-Gerät installieren und ausführen und den Nutzer dazu bringen, einen Authentifizierungsablauf in Authenticator abzuschließen.
Microsoft stufte die Schwachstelle zum Zeitpunkt des ursprünglichen Sicherheitshinweises weder als öffentlich bekannt noch als ausgenutzt ein und hielt eine Ausnutzung für weniger wahrscheinlich. Der demonstrierte Zugriff ist ein Forschungsergebnis und kein Beleg für einen Angriff auf Nutzer. Das Update behebt die Schwachstelle, doch die vorliegenden Belege lassen nicht erkennen, ob ein Update Token ungültig macht, die eine schädliche App bereits erlangt haben könnte.
