Resumo:
O pesquisador de segurança cibernética Aoife Craven divulgou recentemente um relatório revelando a cadeia de ataque AuthMask: aplicativos Android maliciosos podem usar o proxy de autenticação do Microsoft Authenticator para se passar por aplicativos Microsoft instalados para obter tokens de conta. A vulnerabilidade tem o número CVE-2026-80097. Os pesquisadores de segurança notificaram a Microsoft com antecedência para corrigi-la, e a Microsoft lançou uma atualização para corrigir a vulnerabilidade em setembro.
O Microsoft Authenticator pode ser usado apenas como um autenticador TOTP, que gera um código de verificação dinâmico de 6 dígitos. No entanto, o Microsoft Authenticator também fornece serviços de proxy de autenticação para aplicativos Microsoft, ou seja, os usuários podem fazer login em contas corporativas para obter recursos do Microsoft 365 após serem confirmados pelo autenticador.
O problema está nos componentes que a Microsoft abre para serem chamados por outros aplicativos. A pesquisa descobriu que o aplicativo chamador pode preencher o nome do aplicativo, o nome do pacote, o ID do cliente e o endereço de redirecionamento na solicitação. O autenticador verifica o endereço de redirecionamento em relação à identidade do aplicativo reivindicada pela solicitação, mas não conclui a determinação da autorização usando a identidade do aplicativo que realmente fez a chamada.
Por exemplo, um aplicativo malicioso pode alegar ser o Microsoft Teams que já está instalado no dispositivo. Como a assinatura e o endereço de redirecionamento do aplicativo existem no dispositivo, o Microsoft Authenticator aceitará esse disfarce e finalmente retornará o token real ao aplicativo que realmente iniciou a solicitação.
Pesquisadores de segurança testaram vários disfarces de identidade de aplicativos, tomando o Microsoft Teams como exemplo. Após o disfarce, eles obtiveram permissões delegadas do Microsoft Graph, incluindo leitura e envio de e-mails, acesso a arquivos, modificação de calendários, envio de mensagens do Microsoft Teams e operação de conteúdo do SharePoint. Os tokens de acesso também podem acessar diretamente os recursos correspondentes e os tokens de atualização também podem ser trocados por novos tokens de acesso dentro do período de validade.
De acordo com a pesquisa, os invasores que exploram a falha também podem gerenciar os métodos de autenticação dos usuários, criar e excluir chaves de acesso, o que faz com que o risco não esteja apenas relacionado à leitura de dados, mas também possa envolver as configurações de segurança de login da própria conta.
Depois de descobrir a vulnerabilidade, os pesquisadores relataram-na de forma responsável à Microsoft. Os principais afetados são a versão Android do Microsoft Authenticator 6.0.0~6.2606.4246. A Microsoft lançou a versão 6.2606.4246 em 8 de setembro para corrigir o problema.
Para evitar que alguns usuários não atualizem para a nova versão por um longo período, os pesquisadores não publicaram os detalhes da vulnerabilidade depois que ela foi corrigida. Agora, 50 dias se passaram antes que os pesquisadores anunciassem a vulnerabilidade. Estima-se que os invasores usarão as falhas relevantes para encontrar oportunidades de ataque.
Comentários