Microsoft a corrigé une vulnérabilité d'Authenticator pour Android qui pouvait permettre à une application malveillante d'obtenir des jetons d'authentification et d'accéder aux ressources de l'utilisateur concerné. Des recherches décrites par The Hacker News ont démontré un accès à la messagerie, aux fichiers et au calendrier d'un compte professionnel. L'avis de sécurité de Microsoft précise toutefois qu'une étape d'authentification de l'utilisateur est un prérequis à l'exploitation.
La faille, CVE-2026-80097, est liée à une authentification défaillante et est classée « Important » par Microsoft. L'éditeur a publié son avis le 8 septembre 2026 et a corrigé le numéro de build du correctif le 15 septembre. Selon The Hacker News, la version corrigée est Microsoft Authenticator pour Android version 6.2606.4246, et les utilisateurs doivent mettre à jour vers cette version ou une version ultérieure.
Les détails techniques ont été publiés le 23 octobre par Enclave, à la suite des recherches d'Ofek Levin dans le cadre du programme de bourses de la société de sécurité, selon The Hacker News. Microsoft crédite Levin et Enclave dans son avis de sécurité.
Authenticator peut servir de courtier de connexion pour d'autres applications Microsoft : une application demande une authentification, et le courtier renvoie un jeton qui lui permet d'accéder aux ressources de l'utilisateur. La faille signalée permettait à une application malveillante sans aucune autorisation d'usurper l'identité d'une application Microsoft de confiance dans cet échange.
Selon le récit de The Hacker News sur les conclusions d'Enclave, l'application malveillante pouvait lancer un composant Authenticator exposé nommé AccountChooserActivity. Authenticator construisait ensuite une demande de jeton à partir de valeurs fournies par l'attaquant, dont l'identité de l'application usurpée.
Une vérification de signature n'a pas permis de déterminer quelle application avait réellement fait la demande. Dans l'exemple de Teams donné par les chercheurs, la vérification a été effectuée par rapport à la signature authentique de Teams, disponible car Teams était installé sur l'appareil. Selon les chercheurs, Authenticator pouvait identifier l'application demandeuse réelle, mais n'utilisait pas cette information pour décider de délivrer un jeton.
Lors des tests d'Enclave, l'usurpation de Teams et la demande de jetons Microsoft Graph ont donné accès en lecture et en envoi de courriels, en lecture et en écriture de fichiers, en lecture et en écriture de calendriers, entre autres autorisations. La portée signalée était le compte professionnel connecté à Authenticator sur cet appareil, et non les autres comptes.
Les descriptions divergent sur le rôle de l'utilisateur. Enclave indique que sa preuve de concept renvoyait des jetons sans autre interaction que la présence d'un compte connecté. Selon l'avis de Microsoft, l'attaquant doit installer et exécuter une application malveillante sur un appareil Android concerné, et convaincre l'utilisateur de terminer un parcours d'authentification dans Authenticator.
Au moment de son avis initial, Microsoft indiquait que la vulnérabilité n'avait été ni divulguée publiquement ni exploitée, et jugeait son exploitation moins probable. La démonstration d'accès est un résultat de recherche, et non la preuve d'une attaque contre des utilisateurs. La mise à jour corrige la faille, mais les éléments disponibles ne permettent pas d'établir si elle invalide les jetons qu'une application malveillante aurait pu obtenir auparavant.
