Активность, открытая для запуска извне, позволяет любому приложению на устройстве выдать себя за доверенное приложение Microsoft и получить токены доступа к рабочей учётной записи пользователя. Стороннему приложению не нужны разрешения Android и не требуется участие пользователя. Достаточно, чтобы Authenticator был установлен, а вход в рабочую учётную запись уже выполнен. Затронуты сборки Microsoft Authenticator для Android, выпущенные до исправления.
CVE-2026-80097 и обход проверки адреса перенаправления
Активность (activity) - это компонент Android, который может запускать другое приложение. Authenticator объявляет такую активность доступной извне, и это штатный механизм: она показывает список учётных записей приложениям Microsoft. Проверка при запуске сводилась к тому, что вызывающая сторона существует. Остальные сведения о себе - имя пакета, идентификатор клиента, адрес перенаправления (redirect URI, куда служба возвращает ответ) и запрашиваемые разрешения - Authenticator принимал из запроса.
Проверка адреса перенаправления выглядела надёжной. Authenticator брал заявленное имя пакета, находил это приложение на устройстве, строил по его подписи ожидаемый адрес и сравнивал с присланным. Обойти проверку несложно, потому что подделываемое приложение действительно установлено. Его настоящая подпись даёт настоящий адрес, и злоумышленнику достаточно повторить вычисление. Проверка проходит, хотя запрос отправило другое приложение.
Android при этом сообщает, кто именно вызвал активность. Authenticator эти сведения получал, но применял их только для учёта параллельных запросов, а не для решения о доверии. Поэтому служба-посредник (broker), которая выдаёт токены приложениям Microsoft, отвечала вызывающему.
Ответ уходит тому, кто запустил активность. Внутри - токен доступа, токен обновления, идентификационный токен и сведения о клиенте, причём в открытом виде. Токен - это ключ, который приложение предъявляет службам Microsoft вместо пароля; получив его, постороннее приложение действует от имени пользователя. В тестах исследователи из Enclave выдавали себя за Teams и запрашивали доступ к Microsoft Graph (программный интерфейс Microsoft 365). Делегированные разрешения, то есть права, переданные приложению от имени пользователя, покрывали почту, календарь, файлы, SharePoint и чаты. Схема срабатывала и под видом серверной части Teams, и под видом самого Authenticator - в последнем случае в наборе оказались разрешения на управление методами аутентификации и ключами доступа (passkey, вход без пароля).
Microsoft отнёс CVE-2026-80097 к повышению привилегий и оценил в 8.6 из 10 по CVSS (общая система оценки уязвимостей). Классификация - CWE-287, некорректная аутентификация. Уведомление опубликовано 8 сентября 2026 года, исправление выпущено. Уязвимы версии Microsoft Authenticator для Android ниже 6.2606.4246, исправленная версия - 6.2606.4246 и новее.
Условия атаки локальные: вредоносное приложение работает на том же устройстве, что и Authenticator. Аутентификация на стороне атакующего не требуется, участие пользователя тоже не нужно - кроме уже выполненного входа в рабочую учётную запись. Сведений об эксплуатации в реальных атаках в опубликованных материалах нет. Публикация уведомления означает, что детали стали доступны, а не то, что уязвимость уже используют.
Обновите Microsoft Authenticator для Android до 6.2606.4246 или новее на всех управляемых устройствах. Затем проверьте журналы на неожиданное использование токенов и подозрительную активность в Microsoft Graph. Отдельно стоит отслеживать запуск неизвестных приложений на управляемых Android-устройствах. Обходных мер, кроме обновления, в исходных данных не приводится.
Значимость уязвимости определяется тем, что не требуется ни разрешений, ни действий пользователя. Любое приложение, установленное на устройстве с настроенным Authenticator, получает путь к рабочей почте, файлам и календарю.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-80097
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-80097
- https://enclave.ai/blog/authmask-we-made-microsoft-authenticator-hand-over-tokens
