Enclave veröffentlichte am 23. Oktober 2026 technische Details zu CVE-2026-80097, einer Sicherheitslücke in Microsoft Authenticator für Android. In Enclaves Proof of Concept konnte eine Android-App ohne Berechtigungen eine Microsoft-App nachahmen und Tokens für das angemeldete Arbeitskonto erhalten. Enclave bezeichnet Versionen vor 6.2606.4246 als betroffen; Version 6.2606.4246 oder höher gilt als korrigiert.
Was die exportierte Aktivität falsch machte
Enclave zufolge lag der Fehler in der exportierten Aktivität com.microsoft.identity.client.AccountChooserActivity. Eine exportierte Aktivität kann von einer anderen App gestartet werden. In Enclaves Demonstration nahm sie vom Aufrufer vorgegebene Werte für App-Name, Paket, Client-ID, Weiterleitungs-URI und angeforderte Berechtigungen entgegen.
Die Aktivität las laut Enclave zwar das Paket der tatsächlich aufrufenden App aus, nutzte diese Identität aber nicht für die Vertrauensprüfung. Dadurch konnte eine App ohne Android-Berechtigungen eine installierte Microsoft-App nachahmen. Authenticator gab daraufhin Tokens für das auf dem Gerät angemeldete Arbeitskonto zurück.
Die Schwachstelle betrifft Microsoft Authenticator für Android. NeoTeos Bericht zum Microsoft-Patchday im Oktober behandelt Windows-Schwachstellen und damit ein anderes Thema.
Welche Tokens und Berechtigungen Enclave erhielt
Enclave zufolge enthielt die Rückgabe ein Zugriffstoken, ein Refresh-Token und ein ID-Token im Klartext. Diese Tokenarten erfüllen unterschiedliche Aufgaben bei der Anmeldung und beim Zugriff auf Microsoft-Dienste.
Im Beispiel mit Microsoft Teams und Microsoft Graph umfassten die angeforderten Berechtigungen laut Enclave unter anderem Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send und Sites.ReadWrite.All. Enclave beschrieb außerdem zwei andere Nachahmungsfälle: Für das Backend von Teams-Chats wurde user_impersonation angefordert; beim Authenticator-Client gehörten unter anderem UserAuthenticationMethod.ReadWrite, Passkey.Create und Passkey.Delete zu den Berechtigungen. Die Ergebnisse beschreiben unterschiedliche Tests, nicht den Zugriff, den jedes Konto automatisch erhalten hätte.
Warum Enclave und Microsoft die Nutzerinteraktion unterschiedlich beschreiben
Enclave sagte, sein Proof of Concept habe keine Nutzerinteraktion erfordert, sofern Authenticator mit einem angemeldeten Arbeitskonto auf dem Gerät vorhanden war. Laut einem Bericht von The Hacker News verlangte Microsoft dagegen, dass das Opfer in Authenticator einen Authentifizierungsablauf abschließt. Die beiden Beschreibungen unterscheiden sich damit bei der Frage, ob eine Person während des Angriffs handeln muss.
Welche Version den Fehler behebt
Enclave stuft Microsoft Authenticator für Android vor Version 6.2606.4246 als betroffen ein. The Hacker News nennt Version 6.2606.4246 oder höher als korrigiert. Wer eine ältere Version verwendet, sollte auf mindestens 6.2606.4246 aktualisieren.
Was zur Ausnutzung berichtet wurde
Laut The Hacker News teilte Microsoft mit, keine Ausnutzung der Schwachstelle in Angriffen beobachtet zu haben. Derselbe Bericht hielt fest, dass CVE-2026-80097 am 26. Oktober 2026 nicht im Known Exploited Vulnerabilities-Katalog der US-Behörde CISA aufgeführt war.
