مایکروسافت یک آسیب‌پذیری با شدت بالا (High-Severity) تحت شناسه CVE-2026-80097 با امتیاز CVSS 8.6 را در اپلیکیشن Microsoft Authenticator برای اندروید برطرف کرده است. این نقص امنیتی به اپلیکیشن‌های مخرب اجازه می‌دهد بدون داشتن هیچ‌گونه Permission یا مجوز اعلام‌شده، توکن‌های دسترسی (Access Tokens) حساب‌های کاری را سرقت کنند.
جزئیات فنی آسیب‌پذیری
این مشکل که توسط مایکروسافت در دسته آسیب‌پذیری‌های Local Elevation-of-Privilege طبقه‌بندی شده، دستگاه‌های اندرویدی که دارای Authenticator و یک حساب کاری (Work Account) فعال هستند را تحت تأثیر قرار می‌دهد. محققان Enclave دریافتند که یک اپلیکیشن غیرقابل اعتماد می‌تواند خود را به جای یک اپلیکیشن مورد اعتماد مایکروسافت (مانند Microsoft Teams) جا بزند و از Authenticator بخواهد که توکن‌های تفویض‌شده (Delegated Tokens) را برای آن هویت صادر کند.
نکته بحرانی اینجاست که این درخواست نیازی به تایید کاربر، وارد کردن اعتبارنامه‌ها (Credentials) یا داشتن هیچ Permission خاصی در اندروید ندارد. ریشه این مشکل در یک Android Activity صادر شده به نام com.microsoft.identity.client.AccountChooserActivity نهفته است.
نحوه سوءاستفاده (Exploitation)
در این سناریو، اپلیکیشن مهاجم می‌تواند فیلدهایی مانند نام پکیج (Package Name)، Client ID، Redirect URI و حتی مقدار Caller UID را به جای مقادیر واقعی خود، با مقادیر اپلیکیشن‌های معتبر (مثلاً Teams) جایگزین کند. اگرچه Authenticator صحت Redirect URI را بررسی می‌کند، اما این بررسی تنها بر اساس هویت ادعا شده در درخواست انجام می‌شود و نه هویت واقعی اپلیکیشنی که درخواست را ارسال کرده است. در واقع، سیستم تأیید می‌کند که هویت ادعا شده معتبر به نظر می‌رسد، اما تأیید نمی‌کند که آیا فراخواننده (Caller) واقعاً همان اپلیکیشن ادعا شده است یا خیر.
پیامدهای امنیتی و اقدامات اصلاحی
با موفقیت در این حمله، مهاجم می‌تواند به داده‌های حساس موجود در Microsoft Graph از جمله ایمیل‌ها، تقویم‌ها، فایل‌های OneDrive، محتوای SharePoint و سرویس‌های مرتبط با Teams دسترسی پیدا کند. این موضوع به‌ویژه برای سازمان‌هایی که از دستگاه‌های اندرویدی برای دسترسی به محیط‌های Microsoft 365 استفاده می‌کنند، بسیار حیاتی است.
- راهکار فوری: کاربران و سازمان‌ها باید اپلیکیشن Microsoft Authenticator را در اندروید به نسخه 6.2606.4246 یا بالاتر به‌روزرسانی کنند.
- توصیه به تیم‌های امنیتی: پایش فعالیت‌های غیرعادی در Microsoft Graph و بررسی درخواست‌های تایید (Consent) غیرمنتظره در محیط‌های سازمانی توصیه می‌شود.
