A Enclave publicou em 23 de outubro de 2026 uma análise técnica da CVE-2026-80097, falha no Microsoft Authenticator para Android que, na prova de conceito da empresa, permitiu que um aplicativo sem permissões do Android se passasse por um app Microsoft instalado e obtivesse tokens da conta corporativa conectada. A versão 6.2606.4246 ou posterior é apontada como corrigida.
O que a Enclave relatou sobre a CVE-2026-80097
A falha envolvia uma atividade do Authenticator que outro aplicativo no aparelho podia iniciar. A Microsoft atribuiu o identificador CVE-2026-80097 em 8 de setembro de 2026, segundo relato publicado em 27 de outubro. A análise técnica da Enclave veio em 23 de outubro.
Como a atividade exportada aceitava a identidade do chamador
A Enclave identificou o componente com.microsoft.identity.client.AccountChooserActivity, marcado como exportado no Android. Isso permitia que outro app o iniciasse. Segundo a análise da empresa, a atividade aceitava valores enviados pelo aplicativo chamador, como nome do app, pacote, ID de cliente, URI de redirecionamento e escopos de acesso. Embora o Authenticator lesse o pacote do chamador, a Enclave disse que essa identidade não era usada para decidir se a solicitação era confiável.
Quais tokens e permissões apareceram na demonstração
A Enclave relatou que a prova de conceito recebeu um pacote com tokens de acesso, de atualização (refresh) e de identidade (ID), em texto simples. Os escopos variaram conforme o aplicativo personificado, em vez de serem iguais em todos os testes.
No teste que personificou o Microsoft Teams e solicitou permissões do Microsoft Graph, a Enclave listou Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send e Sites.ReadWrite.All. Em outro cenário, que personificou o backend de chat do Teams, o escopo informado foi user_impersonation. Ao personificar o cliente do Authenticator, a demonstração retornou escopos como UserAuthenticationMethod.ReadWrite, Passkey.Create e Passkey.Delete.
Enclave e Microsoft descreveram exigências diferentes de interação
A Enclave disse que sua prova de conceito não exigiu uma ação adicional da pessoa usuária: bastava haver uma conta corporativa conectada no Authenticator. Já a posição da Microsoft, segundo relato publicado em 27 de outubro, era que a exploração exigia que a vítima concluísse um fluxo de autenticação no aplicativo.
Qual versão corrige a falha
A Enclave identificou como afetadas as versões anteriores à 6.2606.4246. A versão 6.2606.4246 ou posterior é apontada como correção. Para quem usa o Authenticator no Android, esse é o limite de versão a considerar ao verificar se o aplicativo está atualizado.
O que foi informado sobre exploração
A Microsoft disse, segundo relato publicado em 27 de outubro, que não havia observado exploração da falha. No mesmo relato, a CVE-2026-80097 não constava no catálogo Known Exploited Vulnerabilities (KEV) da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) em 26 de outubro.
