Microsoft Authenticator za Android: zakrpljen propust koji omogućava krađu tokena
CVE-2026-80097 ima CVSS 3.1 ocenu 8,6. Zlonamerna aplikacija na Android uređaju može zloupotrebiti proveru identiteta u Authenticator brokeru; ispravka je dostupna od verzije 6.2606.4246.
Šta se desilo?
Enclave je 23. oktobra 2026. objavio istraživanje AuthMask o ranije zakrpljenom propustu u Microsoft Authenticator aplikaciji za Android. Microsoft je CVE-2026-80097 objavio 8. septembra. Propust može omogućiti lokalnoj zlonamernoj aplikaciji da dobije tokene korisničkog naloga.
Koga pogađa?
Microsoft navodi pogođeni Authenticator za Android, a Enclave verzije pre 6.2606.4246. Istraživački scenario uključuje prijavljen poslovni nalog i instaliranu Microsoft aplikaciju čiji identitet napadač oponaša. Nije reč o napadu na svaki Microsoft 365 nalog samo zato što koristi MFA.
Kako se zaštititi?
- Ažurirajte Authenticator iz Google Play prodavnice na 6.2606.4246 ili noviju verziju.
- Proverite verziju aplikacije i na službenim i na privatnim uređajima koji pristupaju poslovnim resursima.
- Ograničite instalaciju nepouzdanih aplikacija kroz pravila upravljanja uređajima.
- Pregledajte Entra ID evidenciju prijava i neuobičajene pristupe resursima.
- Ako postoje pokazatelji krađe tokena, opozovite sesije, uklonite sumnjivu aplikaciju i pokrenite istragu.
Tehnički detalji
CVE-2026-80097 je greška nepravilne autentifikacije, CWE-287. Microsoft navodi CVSS 3.1 ocenu 8,6 (High), lokalni vektor i potrebnu interakciju korisnika. Njegov FAQ opisuje instalaciju i pokretanje zlonamerne aplikacije uz dovršavanje autentifikacije. Enclave u svom testu prijavljuje dobijanje tokena bez dodatne interakcije, kada je poslovni nalog već prijavljen. Te opise ne treba izjednačiti sa univerzalnim napadom bez interakcije. Prema istraživanju, AccountChooserActivity proveravao je prijavljeni identitet aplikacije umesto stvarnog pozivaoca; dobijeni tokeni mogli su dati pristup resursima u okviru korisnikovih ovlašćenja.
Zašto je važno?
Tokeni mogu omogućiti pristup bez ponovnog unosa lozinke. Zato se provera incidenta ne završava promenom lozinke: potrebno je proveriti sesije, uređaj i pristupe poslovnim podacima. Microsoft u prvobitnoj proceni navodi da eksploatacija nije primećena; to nije garancija da kasniji napadi ne postoje.
Preporuka Sajber Radara
Dajte prednost ažuriranju svih Android uređaja sa poslovnim nalozima. Samo prisustvo stare aplikacije nije dokaz krađe podataka, ali zahteva otklanjanje poznatog propusta.