Enclave publiceerde op 23 oktober 2026 technische details over CVE-2026-80097, een kwetsbaarheid in Microsoft Authenticator voor Android. In de proof of concept kon een app zonder Android-machtigingen zich voordoen als een Microsoft-app en tokens opvragen voor het werkaccount dat bij Authenticator was aangemeld. De gerapporteerde oplossing is versie 6.2606.4246 of hoger; Enclave noemt versies daarvóór kwetsbaar.
Wat Enclave op 23 oktober beschreef
Microsoft wees CVE-2026-80097 volgens The Hacker News op 8 september 2026 toe. Enclave beschreef de technische details ruim een maand later. De kwetsbaarheid betrof een Android-onderdeel van Authenticator, niet alle accounts van iedere gebruiker.
Enclave schreef dat com.microsoft.identity.client.AccountChooserActivity als android:exported="true" stond ingesteld. Daardoor kon een andere app op het toestel deze activiteit starten. De activiteit verwerkte gegevens uit het verzoek van die app, waaronder de appnaam, pakketnaam, client-ID, redirect-URI en gevraagde machtigingen, ook wel scopes genoemd. Volgens Enclave werd de identiteit van de daadwerkelijke aanroeper wel uitgelezen, maar niet gebruikt om te bepalen of het verzoek te vertrouwen was.
Een broker is hier de tussenlaag die namens apps aanmeldtokens beheert. Enclave meldde dat de activiteit in de proof of concept toegangstokens, refresh tokens en ID-tokens als platte tekst teruggaf. Een toegangstoken geeft toegang tot een dienst, een refresh token kan een nieuw toegangstoken opleveren en een ID-token bevat informatie over de aangemelde identiteit.
De machtigingen verschilden per nagebootste app
De gerapporteerde machtigingen hingen af van de app die werd nagebootst. In de Teams-proef ontving Enclave Microsoft Graph-machtigingen voor onder meer mail lezen en versturen, bestanden en agenda’s wijzigen, chatberichten versturen en SharePoint-sites aanpassen. De genoemde scopes waren Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send en Sites.ReadWrite.All.
Bij een afzonderlijke proef met de Teams-chatbackend rapporteerde Enclave de scope user_impersonation. Bij een proef met Authenticator zelf noemde de onderzoeker onder meer UserAuthenticationMethod.ReadWrite, Passkey.Create en Passkey.Delete. Dit waren verschillende testverzoeken met verschillende machtigingen.
De beschrijvingen van gebruikersinteractie liepen uiteen
Enclave schreef dat zijn proof of concept geen interactie van de gebruiker vereiste, behalve dat Authenticator met een aangemeld werkaccount op het toestel aanwezig was. The Hacker News berichtte dat Microsoft een andere voorwaarde noemde: de gebruiker moest een authenticatiestroom in Authenticator voltooien.
Welke versie het lek verhelpt
Enclave noemde versies van Microsoft Authenticator voor Android vóór 6.2606.4246 kwetsbaar. The Hacker News meldde dat versie 6.2606.4246 of hoger het probleem verhelpt. Die versienaam geeft Android-gebruikers en beheerders een concreet punt om de geïnstalleerde app mee te vergelijken.
Wat over misbruik is gemeld
The Hacker News meldde op 27 oktober dat Microsoft geen misbruik van de kwetsbaarheid in aanvallen had waargenomen. Volgens hetzelfde bericht stond CVE-2026-80097 op 26 oktober niet in de Known Exploited Vulnerabilities-catalogus van de Amerikaanse CISA.
