23 października 2026 r. Enclave opisała CVE-2026-80097, lukę w aplikacji Microsoft Authenticator dla Androida. W jej demonstracji aplikacja bez uprawnień mogła podszyć się pod aplikację Microsoftu i uzyskać tokeny konta służbowego zalogowanego w Authenticatorze. Enclave wskazała, że podatne były wersje wcześniejsze niż 6.2606.4246; The Hacker News podał, że poprawka jest dostępna w wersji 6.2606.4246 lub nowszej.

Październikowe omówienie Patch Tuesday NeoTeo dotyczyło luk w Windows. CVE-2026-80097 odnosiło się do aplikacji na Androida.

Jak Authenticator podejmował decyzję o zaufaniu

Anglojęzyczna demonstracja Enclave pokazująca podszycie się pod Teams i dostęp do skrzynki pocztowej

Enclave opisała błąd w komponencie com.microsoft.identity.client.AccountChooserActivity. Komponent był eksportowany, czyli inna aplikacja mogła go uruchomić. Według Enclave wywołująca aplikacja dostarczała wartości żądania, takie jak nazwa i pakiet aplikacji, identyfikator klienta, URI przekierowania oraz zakresy uprawnień.

Authenticator odczytywał pakiet rzeczywistej aplikacji wywołującej, ale nie używał tej informacji przy podejmowaniu decyzji, czy jej ufać. Zamiast tego żądanie zawierało dane aplikacji, pod którą podszywał się napastnik. To właśnie tę lukę w sprawdzaniu tożsamości wykorzystał proof of concept Enclave.

Pięciosekundowe nagranie Enclave przedstawia demonstrację podszycia się pod Microsoft Teams i dostępu do skrzynki pocztowej.

Jakie tokeny i uprawnienia pokazała demonstracja

Enclave podała, że w jej teście pakiet zawierał w postaci jawnej trzy rodzaje tokenów: token dostępu, używany przy żądaniach do chronionych usług; token odświeżania, służący do uzyskania kolejnego tokenu dostępu; oraz token identyfikacyjny, który zawiera informacje o tożsamości użytkownika. Demonstracja dotyczyła konta służbowego zalogowanego w Authenticatorze na urządzeniu.

Zakres uprawnień zależał od aplikacji, pod którą się podszywano. W teście z Microsoft Teams żądanie do Microsoft Graph obejmowało między innymi:

  • Mail.ReadWrite i Mail.Send, związane z odczytem, edycją i wysyłaniem poczty;
  • Files.ReadWrite.All i Calendars.ReadWrite, dotyczące plików i kalendarzy;
  • ChatMessage.Send oraz Sites.ReadWrite.All, dotyczące wiadomości czatu i witryn SharePoint.

Enclave opisała też dwa odrębne przypadki. Podszycie się pod zaplecze czatu Teams zwróciło zakres user_impersonation. W teście z klientem Authenticatora pojawiły się między innymi zakresy UserAuthenticationMethod.ReadWrite, Passkey.Create i Passkey.Delete. Wyniki tych testów nie oznaczają, że każde konto otrzymałoby wszystkie wymienione uprawnienia.

Czy do wykorzystania luki potrzebne było działanie użytkownika?

Enclave napisała, że jej proof of concept nie wymagał interakcji użytkownika poza tym, że na urządzeniu był Authenticator z zalogowanym kontem służbowym. The Hacker News opisał stanowisko Microsoftu, według którego ofiara musiała ukończyć przepływ uwierzytelniania w aplikacji. Są to dwa różne opisy warunku wykorzystania luki.

Która wersja usuwała lukę

Enclave wskazała, że podatne były wersje Microsoft Authenticator dla Androida wcześniejsze niż 6.2606.4246. Wersję 6.2606.4246 lub nowszą jako poprawioną wskazał The Hacker News. Numer wersji zainstalowanej aplikacji można porównać z tym progiem.

Co podano o wykorzystaniu luki

Microsoft przypisał CVE-2026-80097 8 września 2026 r., jak podał The Hacker News. 27 października The Hacker News poinformował, że Microsoft nie zaobserwował wykorzystania luki w atakach. Według tego samego doniesienia luka nie figurowała w amerykańskim katalogu CISA Known Exploited Vulnerabilities 26 października 2026 r.