Microsoft Authenticator kwetsbaarheid stelt kwaadwillende apps in staat werkaccount tokens te stelen

Microsoft heeft een kwetsbaarheid verholpen in de Authenticator-app voor Android, die kwaadwillende apps zonder toestemming in staat stelde zich voor te doen als een vertrouwde Microsoft-app, zoals Teams, en inlogtokens van werkaccounts te verzamelen.

De kwetsbaarheid, aangeduid als CVE-2026-80097, is opgelost in versie 6.2606.4246 van de Authenticator-app. Het is cruciaal voor gebruikers om hun app bij te werken, omdat de tokens volledige toegang gaven tot e-mail, bestanden en agenda's van het account.

Onderzoekers van Enclave ontdekten dat de kwetsbaarheid het mogelijk maakte voor een kwaadwillende app om een token te verkrijgen door zich voor te doen als een andere app. Authenticator fungeert als een soort tussenpersoon voor inloggen, en het was mogelijk om een token te verkrijgen door een component te starten die toegankelijk was voor andere apps.

De kwetsbaarheid werd beoordeeld met een CVSS-score van 8.6, wat het als 'belangrijk' labelt. Microsoft stelt dat er geen aanvallen met deze kwetsbaarheid zijn waargenomen en dat exploitatie vereist dat de gebruiker een inlogstap in Authenticator voltooit.

Voor organisaties die AI en identiteitsbeheer toepassen, is het belangrijk om de beveiliging van applicaties te waarborgen. Het gebruik van betrouwbare en up-to-date authenticator-apps is essentieel om te voorkomen dat kwaadwillende apps toegang krijgen tot gevoelige bedrijfsinformatie.

Het is nog onduidelijk of het bijwerken van de app ook bestaande tokens die door kwaadwillende apps zijn verkregen, ongeldig maakt. Organisaties die Android-apparaten beheren, kunnen vereisen dat hun medewerkers de nieuwste versie van de app installeren om de beveiliging te waarborgen.