Microsoft Authenticator voor Android bevatte een lek waardoor een kwaadaardige app zonder enige rechten zich kon voordoen als een vertrouwde Microsoft-app, zoals Teams, en zo tokens voor een werkaccount kon buitmaken. Het probleem, inmiddels verholpen, draait om een onderdeel van Authenticator genaamd AccountChooserActivity, dat door elke andere app op het toestel kan worden gestart.
Een kwaadaardige app kon zich via dat onderdeel voordoen als Teams en een tokenverzoek indienen. Authenticator voerde wel een signature-check uit, maar die vergeleek alleen met de echte handtekening van de nagebootste app. Omdat Teams daadwerkelijk op het toestel stond, kwam die controle altijd goed uit, ook al kwam het verzoek van een heel andere app. Authenticator registreerde op zichzelf welke app het verzoek deed, maar gebruikte die informatie niet om het af te wijzen.
Beveiligingsbedrijf Enclave testte het lek en kreeg via het nagemaakte Teams-verzoek Microsoft Graph-tokens met rechten om mail te lezen en te versturen, bestanden te lezen en te schrijven, en agenda’s te lezen en te bewerken. De tokens gelden alleen voor het werkaccount dat al in Authenticator op het toestel is ingelogd.
Microsoft kende de kwetsbaarheid op 8 september het nummer CVE-2026-80097 toe, met een CVSS-score van 8,6, en verhielp het in de Patch Tuesday van september. De fix zit in Authenticator voor Android versie 6.2606.4246 en later. Microsoft meldt geen vastgesteld misbruik en noemt de kans daarop “less likely”; het lek stond vóór de fix niet publiek bekend en staat niet in de CISA KEV-catalogus. Microsoft stelt dat misbruik een kwaadaardige app op het toestel vereist én dat het slachtoffer een authenticatiestap in Authenticator voltooit, maar Enclave meldt dat hun proof-of-concept tokens teruggaf zonder die gebruikersinteractie. Dat verschil is niet opgehelderd, net als de vraag of de update tokens intrekt die een kwaadaardige app al vóór de patch had verkregen.
Zorg dat Microsoft Authenticator op zakelijke Android-toestellen is bijgewerkt naar 6.2606.4246 of nieuwer. Organisaties met beheerde Android-apparaten kunnen een minimumversie afdwingen via hun mobile device management, in plaats van te vertrouwen op een handmatige update door de gebruiker.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Beheert u zakelijke Android-toestellen? Dwing via uw devicemanagement een minimumversie van 6.2606.4246 voor Microsoft Authenticator af, zodat medewerkers niet op een handmatige update moeten wachten.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.