Microsoft Authenticator spraga Android: ar darbuotojų telefonai jau atnaujinti?

Kas yra „AuthMask“?

„AuthMask“ – tyrėjo Ofek Levin iš „Enclave“ aprašyta technika, susijusi su „Microsoft Authenticator“ Android programėle. Android įrenginyje „Authenticator“ gali veikti kaip prisijungimo tarpininkas: „Teams“ ar kita „Microsoft“ programėlė kreipiasi į jį, o šis pateikia jau prisijungusiai darbo paskyrai skirtą žetoną.

„Enclave“ nustatė, kad pažeidžiamose versijose kita, tame pačiame telefone įdiegta programėlė galėjo iškviesti „Authenticator“ komponentą ir pateikti netikrą informaciją apie tai, kuri programėlė prašo žetono. Tyrėjo aprašytu bandymu „Authenticator“ patikrino nurodytos programėlės duomenis, bet nepatvirtino, kad užklausą iš tikrųjų pateikė būtent ta programėlė. Tyrimo demonstracijoje taip buvo gauti darbo paskyros žetonai, suteikę prieigą prie pasirinktų „Microsoft Graph“ duomenų ir veiksmų. „Enclave“ techninis tyrimas ↗

Kokį poveikį galėjo turėti žetonų vagystė?

Žetonas yra įrodymas, kad paskyra jau autentifikuota, todėl jį gavusi programėlė gali bandyti naudotis tomis teisėmis, kurios suteiktos atitinkamai programai ir vartotojui. „Enclave“ demonstracijoje tai apėmė darbo el. paštą, failus, kalendorių ir „SharePoint“ duomenis. Tyrėjas taip pat demonstravo, kad apsimetant kitais „Microsoft“ klientais buvo galima prašyti skirtingų prieigos teisių, įskaitant autentifikavimo metodų ar „passkey“ pakeitimus.

Tyrimo demonstracija nereiškia, kad kiekvienas įrenginys ar kiekviena paskyra būtų gavusi vienodas teises. Poveikis priklauso nuo paskyros, programėlių, suteiktų teisių ir organizacijos prieigos politikų.

Kuri versija ištaiso spragą?

„Microsoft“ šią problemą identifikuoja kaip CVE-2026-80097 ir pateikia ištaisytą „Microsoft Authenticator“ Android versiją 6.2606.4246. Versijos iki jos laikomos paveiktomis. Įvertinimas nurodytas kaip „Important“, o CVSS balas – 8,6. Patikrinkite Microsoft Security Response Center įrašą ir diekite naujinimą per oficialų programėlių kanalą. Microsoft CVE-2026-80097 įrašas ↗

Viešas techninis tyrimas paskelbtas spalio 23 d., o „Microsoft“ CVE įrašo paskelbimo data – rugsėjo 8 d. Tai reiškia, kad taisymas buvo prieinamas iki detalaus viešo tyrimo; organizacijoms verta patikrinti ne tik tai, ar atnaujinimas pasiūlytas, bet ir ar jis pasiekė realiai naudojamus telefonus.

Ką turėtų padaryti organizacijos?

1. Patikrinkite Android įrenginių inventorių. Įtraukite įmonės ir, jei darbo paskyroms naudojami asmeniniai telefonai, BYOD įrenginius, kuriuose įdiegta „Authenticator“.
2. Atnaujinkite programėlę. Įsitikinkite, kad kiekviename telefone įdiegta 6.2606.4246 arba naujesnė versija. Naudokite oficialų programėlių katalogą.
3. Centralizuokite atitikties patikrą. Jei jūsų MDM / Intune konfigūracija tai palaiko, nustatykite minimalią leidžiamą programėlės versiją ir pažymėkite neatnaujintus įrenginius kaip neatitinkančius prieigos politikos.
4. Ribokite nepatikimų programėlių diegimą. Peržiūrėkite organizacijos sideloading taisykles, programėlių leidžiamų sąrašų politiką ir darbuotojų teises diegti programinę įrangą.
5. Įtarus kompromitaciją, reaguokite į paskyrą ir telefoną. Izoliuokite ar pašalinkite įtartiną programėlę pagal incidentų planą, atšaukite naudotojo sesijas, peržiūrėkite prisijungimo veiklą ir patikrinkite Entra ID autentifikavimo metodus bei registruotas „passkey“ priemones.
6. Patikrinkite prieigos apimtį. Įvertinkite, kokius „Microsoft 365“ duomenis vartotojas galėjo pasiekti, ar yra neįprastų pašto, failų ar Teams veiksmų, ir ar paskyra turi platesnių teisių nei reikia.

Kaip ši spraga skiriasi nuo pavogtos sesijos atakos?

Neseniai aprašytose „Microsoft 365“ tokenų pakartojimo atakose užpuolikai per tarpinį prisijungimo puslapį perimdavo jau išduotą naršyklės sesiją. „AuthMask“ atveju pradinis pažeidimo kelias buvo Android telefone esantis „Authenticator“ komponentas ir kenkėjiška programėlė, kuri apsimetė patikimu klientu. Abiem atvejais pavogtas žetonas gali suteikti prieigą jau po autentifikavimo, todėl svarbu kartu valdyti telefonų programėles, paskyras ir aktyvias sesijas.

Daugiau apie sesijų žetonų pakartojimą: „Microsoft 365“ tokenų pakartojimo atakos ir sesijų apsauga.

Trumpa išvada IT administratoriams

Ši spraga parodo, kad darbo paskyros apsauga priklauso ir nuo telefono programėlių būklės. Atnaujinkite „Authenticator“ į pataisytą versiją, valdomuose įrenginiuose tikrinkite programėlės atitiktį ir ribokite nepatikimų programų diegimą. MFA išlieka svarbi, tačiau saugumo grandinėje būtina prižiūrėti ir įrenginį, kuriame autentifikavimo tarpininkas veikia.