IT-Sicherheitsforscher der Firma Enclave haben eine Schwachstelle im Microsoft Authenticator veröffentlicht, die bösartigen Apps den Zugriff auf Zugangstoken ermöglichte. Microsoft hat das Problem bereits im September behoben. Unter Android sollte mindestens Version 6.2606.4246 installiert sein.
Wirkungslose Prüfung der aufrufenden App
Der Authenticator ist im Android-System so registriert, dass ihn jede App auf dem Gerät aufrufen kann. Geprüft wurde lediglich, ob überhaupt eine aufrufende Activity existiert – eine Bedingung, die ein einfacher Aufruf erfüllt. Danach liest der Authenticator Angaben zur aufrufenden App, darunter App- und Paketname, Client-IDs und eine Redirect-URI.
Die eigentliche Kontrolle verglich diese Redirect-URI mit der Adresse, die zur Paketsignatur gehört. Eine fremde App konnte jedoch behaupten, eine andere zu sein, und die passende URI gleich mitliefern. Die Prüfung war damit ausgehebelt.
Testzugriff auf Postfach, Dateien und Kalender
Die Forscher gaben ihre App ohne Berechtigungen als Teams aus und erhielten im Test die angeforderten Zugangstoken im Klartext. Damit war der Zugriff auf Postfach, Dateien und Kalender der betroffenen Konten möglich, auch eine Anmeldung im Netz als der freigebende Nutzer.
Die Schwachstelle läuft als CVE-2026-80097 mit einem CVSS-Wert von 8,6 und gilt damit als hoch. Microsoft geht davon aus, dass Opfer die Anfrage freigeben müssen. Enclave widerspricht: In den Tests habe der Broker lediglich über ein angemeldetes Arbeitskonto verfügt, eine Interaktion sei nicht nötig gewesen.
Kein Handlungsbedarf bei aktuellen Versionen
Wer den Authenticator auf Android nutzt, sollte die installierte Version im Play Store prüfen. In Unternehmen empfiehlt es sich, die bedingten Zugriffsrichtlinien zu kontrollieren und auffällige Token-Aktivitäten in den Anmeldeprotokollen von Microsoft Entra ID nachzusehen.
Quellen
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet