Enclave a publié le 23 octobre 2026 une analyse technique de CVE-2026-80097, une faille de Microsoft Authenticator pour Android. Le chercheur affirme que les versions antérieures à 6.2606.4246 étaient concernées; la version 6.2606.4246 ou ultérieure est indiquée comme corrigée.
La faille touche une application Android et concerne le compte professionnel connecté à Authenticator sur l’appareil, selon la description de Microsoft rapportée par The Hacker News. Elle est distincte des vulnérabilités Windows évoquées dans l’article de NeoTeo sur le Patch Tuesday de Microsoft en octobre.
Comment l’application appelante a pu tromper le broker
Enclave attribue le problème à com.microsoft.identity.client.AccountChooserActivity, une activité Android exportée, donc accessible au lancement par une autre application installée. Selon son analyse, cette activité acceptait des paramètres de requête fournis par l’application appelante, notamment son nom, son paquet, son identifiant client, son URI de redirection et les autorisations demandées. L’application lisait aussi l’identité réelle de l’appelant, mais ne s’en servait pas pour décider si la requête était fiable.
Dans la preuve de concept d’Enclave, une application ne disposant d’aucune permission Android usurpait une application Microsoft installée. Authenticator renvoyait alors des jetons d’accès, de renouvellement et d’identité en texte brut. Le défaut décrit concerne le contrôle de l’identité de l’application qui sollicite le broker, et non une compromission démontrée de tous les comptes Authenticator.
Les autorisations obtenues dépendaient de l’application usurpée
Dans son scénario d’usurpation de Teams, Enclave rapporte que les jetons Microsoft Graph comprenaient des autorisations de lecture et d’envoi de courriels, d’écriture de fichiers et de calendriers, ainsi que d’envoi de messages de conversation et d’écriture dans SharePoint. L’exemple incluait notamment Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send et Sites.ReadWrite.All.
Les autres scénarios décrits par Enclave avaient des portées différentes. L’usurpation du service de conversation de Teams a renvoyé user_impersonation; celle du client Authenticator comprenait notamment UserAuthenticationMethod.ReadWrite, Passkey.Create et Passkey.Delete. Ces autorisations correspondent aux requêtes et aux applications de chaque démonstration, pas à une liste obtenue pour tous les comptes.
Enclave et Microsoft ont décrit différemment l’interaction requise
Enclave a déclaré que sa preuve de concept n’exigeait aucune interaction de l’utilisateur au-delà de la présence d’Authenticator avec un compte professionnel déjà connecté. The Hacker News a rapporté séparément que, selon Microsoft, l’exploitation nécessitait que la victime termine un parcours d’authentification dans Authenticator.
Leurs descriptions ne concordent donc pas sur la nécessité d’une action de la victime. La démonstration d’Enclave porte sur son scénario de preuve de concept; la condition attribuée à Microsoft porte sur sa propre description de l’exploitation.
La version 6.2606.4246 est donnée comme corrigée
Enclave indique que les versions de Microsoft Authenticator pour Android antérieures à 6.2606.4246 étaient concernées. The Hacker News rapporte que Microsoft a corrigé la faille dans la version 6.2606.4246 et recommande cette version ou une version ultérieure. Pour comparer avec le seuil rapporté, vérifiez le numéro de version installé et mettez l’application à jour si elle est antérieure.
Ce qui a été rapporté sur l’exploitation
The Hacker News a rapporté le 27 octobre 2026 que Microsoft n’avait pas observé d’exploitation de la faille dans des attaques. Le même article indiquait que CVE-2026-80097 ne figurait pas dans le catalogue Known Exploited Vulnerabilities de l’agence américaine CISA au 26 octobre 2026.
Microsoft avait attribué l’identifiant CVE-2026-80097 le 8 septembre 2026, selon The Hacker News. Cette faille concerne Authenticator pour Android; elle ne doit pas être confondue avec CVE-2026-26123, une autre vulnérabilité d’Authenticator décrite en mars 2026.
