Ältere Android-Versionen von Microsofts Authenticator-App weisen eine Schwachstelle auf, die anderen Apps ermöglicht, Zugriffstokens für geschäftliche Microsoft-Konten zu erlangen. Mit einem CVSS Score von 8.6 stuft der Hersteller das Problem als schwerwiegend ein. Angreifer könnten sich durch Ausnutzen von
CVE-2026-80097 auf dem betroffenen Android-Gerät eine bösartige App installieren und den Nutzer dazu auffordern, sich mit dem Authenticator bei seinem Microsoft-Geschäftskonto anzumelden – der Angreifer erhält auf diese Weise die Authentifizierungs-Tokens des betroffenen Nutzers und kann auf dessen Ressourcen bei
Microsoft zugreifen.
Entdeckt und beschrieben wurde die Schwachstelle vom Sicherheitsforscher Ofek Levin von Enclave. Unter dem Titel "AuthMask: Wir haben Microsoft Authenticator dazu gebracht, Tokens an eine App ohne jegliche Berechtigungen weiterzugeben" erklärt er
in einem Blogbeitrag die Schwachstelle und zeigt, was ein Angriff mit sich bringen kann: "In unseren Tests gewährten die Tokens uneingeschränkten Zugriff auf delegierte Postfächer, Dateien und Kalender. Abgesehen davon, dass der Broker über ein angemeldetes Arbeitskonto verfügte, war keine weitere Benutzerinteraktion erforderlich." Im Folgenden erklärt er die technischen Details des Problems und merkt an, er habe eine bösartige App als Teams ausgegeben und habe so den Zugriff auf die erwähnten Mailboxen, Kalender und Files erhalten.
Das Leck wurde zwar bereits im Juli 2026 mit der Authenticator-Version 6.2606.4246 gepatcht, könnte aber auf Geräten, die frühere Versionen verwenden, nach wie vor ausgenutzt werden. User sollten ihren Authenticator via Play Store unbedingt aktualisieren, und Unternehmen sollten sich darum kümmern, dass ihre gemanagten Geräte auf dem neuesten Stand sind.
(ubi)
