Microsoft ha corretto una vulnerabilità di Authenticator per Android che potrebbe consentire a un'app malevola di ottenere token di autenticazione e accedere a risorse come l'utente interessato. Una ricerca riportata da The Hacker News ha dimostrato l'accesso alla posta elettronica, ai file e al calendario di un account di lavoro, anche se l'avviso di Microsoft indica come prerequisito per lo sfruttamento un passaggio di autenticazione dell'utente.
La falla, CVE-2026-80097, riguarda un'autenticazione non corretta ed è classificata come Important da Microsoft. L'azienda ha pubblicato l'avviso l'8 settembre 2026 e ha corretto il numero di build della correzione il 15 settembre. Secondo The Hacker News, la versione corretta è Microsoft Authenticator per Android 6.2606.4246, e gli utenti dovrebbero aggiornarsi a quella versione o a una successiva.
I dettagli tecnici sono stati pubblicati il 23 ottobre da Enclave, in seguito a una ricerca di Ofek Levin condotta nell'ambito del programma di fellowship della società di sicurezza, come riportato da The Hacker News. Microsoft attribuisce il merito della scoperta a Levin ed Enclave nel proprio avviso.
Authenticator può fungere da intermediario per l'accesso ad altre app Microsoft: un'app richiede l'autenticazione e l'intermediario restituisce un token che le consente di accedere alle risorse dell'utente. La falla segnalata permetteva a un'app malevola senza alcun permesso di farsi passare per un'app Microsoft attendibile in questo scambio.
Secondo il resoconto di The Hacker News sui risultati di Enclave, l'app malevola poteva avviare un componente di Authenticator esposto, denominato AccountChooserActivity. Authenticator costruiva quindi una richiesta di token con valori forniti dall'aggressore, tra cui l'identità dell'app di cui veniva simulata la presenza.
Un controllo della firma non riusciva a stabilire quale app avesse effettivamente inviato la richiesta. Nell'esempio di Teams citato dai ricercatori, il controllo confrontava la firma con quella autentica di Teams, disponibile perché Teams era installato sul dispositivo. Secondo i ricercatori, Authenticator era in grado di identificare l'app richiedente effettiva, ma non utilizzava questa informazione per decidere se rilasciare un token.
Nei test di Enclave, impersonando Teams e richiedendo token di Microsoft Graph si ottenevano permessi per leggere e inviare email, leggere e scrivere file, leggere e scrivere calendari, tra gli altri. L'ambito segnalato riguardava l'account di lavoro con cui si era effettuato l'accesso ad Authenticator su quel dispositivo, e non altri account.
Le due fonti divergono sull'interazione dell'utente. Enclave ha riferito che il proprio proof of concept restituiva token senza alcuna interazione oltre al fatto che un account fosse già connesso. Secondo l'avviso di Microsoft, invece, un aggressore deve installare ed eseguire un'applicazione malevola su un dispositivo Android interessato e convincere l'utente a completare un flusso di autenticazione in Authenticator.
Al momento della pubblicazione dell'avviso originale, Microsoft aveva registrato la vulnerabilità come non divulgata pubblicamente né sfruttata, e aveva valutato lo sfruttamento come meno probabile. L'accesso dimostrato è un risultato di ricerca, non una prova di attacchi contro gli utenti. L'aggiornamento risolve la falla, ma le prove disponibili non permettono di stabilire se l'aggiornamento invalidi i token che un'app malevola potrebbe aver già ottenuto.
