Akár különleges rendszerengedélyek nélkül is hozzáférési tokeneket szerezhettek vállalati fiókokhoz azok a támadók, akik ki tudták használni az Authenticator androidos alkalmazásának CVE-2026-80097 azonosítójú, 8,6-os CVSS-pontszámú sebezhetőségét, amely az app hitelesítési folyamatát érintette, és különösen a Microsoft 365-szolgáltatásokat Android-eszközökön használó szervezetekre nézve jelentett veszélyt. Az Enclave kutatói szerint a támadáshoz elegendő volt egy rosszindulatú alkalmazást telepíteni a kiszemelt készülékre. Ennek nem kellett különleges Android-engedélyeket kérnie, a felhasználónak pedig a bejelentkezési adatait sem kellett megadnia, sőt, jóváhagyását sem igényelt a művelet..
A probléma az Authenticator egyik, más alkalmazások által is elérhető komponensében, az AccountChooserActivity nevű tevékenységben rejlett. Ez a hitelesítési kéréseket kezelő elem nem ellenőrizte megfelelően, hogy valóban az a program kezdeményezte-e a kérést, amelynek kiadta magát.
A támadó alkalmazás például a Microsoft Teams nevében léphetett fel, és olyan adatokat küldhetett az Authenticatornak, amelyek alapján az megbízhatónak ítélte a kérést. A hitelesítési folyamat során ugyan megtörtént a visszatérési URL ellenőrzése, de a vizsgálat a kérésben megadott alkalmazásazonosságra támaszkodott, nem pedig a tényleges hívóprogramra. Amennyiben a Teams valóban telepítve volt a készüléken, a támadó kihasználhatta a hozzá tartozó nyilvános aláírási adatokat az ellenőrzés kijátszására. Sikeres támadás esetén az alkalmazás hozzáférési és frissítési tokeneket, valamint más hitelesítési adatokat is visszaadhatott. A megszerzett jogosultságoktól függően ez akár levelezések, naptárak, OneDrive-fájlok, SharePoint-tartalmak és Teams-adatok elérését vagy módosítását is lehetővé tehette.
A Microsoft még júliusban, a 6.2606.4246-os verzió kiadásával javította a hibát. A felhasználóknak ezért érdemes a Google Playen keresztül frissíteniük az alkalmazást, amennyiben azóta nem tették meg, a vállalatoknak pedig ellenőrizniük kell, hogy a felügyelt készülékeken is a javított változat fut-e. A kutatók arra is felhívták a figyelmet, hogy a mobilos hitelesítési rendszereknek a tényleges hívó alkalmazás azonosságát, felhasználói azonosítóját és digitális aláírását is ellenőrizniük kell, nem elegendő a kérésben szereplő adatokra hagyatkozni.
Forrás: Cyber Security News
