Microsoft ha corregido una vulnerabilidad en Authenticator para Android que podría permitir que una aplicación maliciosa obtuviera tokens de autenticación y accediera a recursos como el usuario afectado. Una investigación descrita por The Hacker News demostró el acceso al correo electrónico, los archivos y el calendario de una cuenta de trabajo, aunque el aviso de Microsoft especifica un paso de autenticación del usuario como requisito previo para la explotación.
La falla, CVE-2026-80097, se debe a una autenticación incorrecta y Microsoft la clasifica con gravedad «Importante». La compañía publicó su aviso el 8 de septiembre de 2026 y corrigió el número de compilación de la solución el 15 de septiembre. Según The Hacker News, la versión corregida es Microsoft Authenticator para Android 6.2606.4246, y los usuarios deben actualizar a esa versión o a una posterior.
Enclave publicó los detalles técnicos el 23 de octubre, tras la investigación de Ofek Levin a través del programa de becas de la firma de seguridad, según informó The Hacker News. Microsoft acredita a Levin y a Enclave en su aviso.
Authenticator puede actuar como intermediario de inicio de sesión para otras aplicaciones de Microsoft: una aplicación solicita autenticación y el intermediario devuelve un token que le permite acceder a los recursos del usuario. La falla notificada permitía que una aplicación maliciosa sin permisos suplantara a una aplicación de Microsoft de confianza en ese intercambio.
Según el relato de The Hacker News sobre los hallazgos de Enclave, la aplicación maliciosa podía iniciar un componente expuesto de Authenticator llamado AccountChooserActivity. Entonces, Authenticator construía una solicitud de token con valores proporcionados por el atacante, incluida la identidad de la aplicación que se suplantaba.
Una comprobación de firma no logró establecer qué aplicación había realizado realmente la solicitud. En el ejemplo de Teams de los investigadores, la comprobación se hizo contra la firma auténtica de Teams disponible, porque Teams estaba instalado en el dispositivo. Según los investigadores, Authenticator sí podía identificar la aplicación solicitante real, pero no usaba esa información para decidir si emitía un token.
En las pruebas de Enclave, al suplantar a Teams y solicitar tokens de Microsoft Graph se obtenían permisos para leer y enviar correo, leer y escribir archivos y leer y escribir calendarios, entre otros. El alcance notificado se limitaba a la cuenta de trabajo iniciada en Authenticator en ese dispositivo, y no a otras cuentas.
Las versiones difieren en cuanto a la interacción del usuario. Enclave informó de que su prueba de concepto devolvía tokens sin más interacción que tener una cuenta con la sesión iniciada. El aviso de Microsoft indica que un atacante debe instalar y ejecutar una aplicación maliciosa en un dispositivo Android afectado y convencer al usuario de completar un flujo de autenticación en Authenticator.
En el momento de su aviso original, Microsoft registró la vulnerabilidad como no divulgada públicamente y tampoco explotada, y evaluó la explotación como menos probable. El acceso demostrado es un resultado de investigación, no una prueba de ataques contra usuarios. La actualización corrige la falla, pero las pruebas disponibles no permiten establecer si una actualización invalida los tokens que una aplicación maliciosa ya pudo haber obtenido.
