Компания Microsoft устранила уязвимость в приложении Authenticator, которая позволяла вредоносным приложениям получать доступ к токенам аутентификации.
Специалисты в области информационных технологий обнаружили серьезную уязвимость в приложении Microsoft Authenticator. Эта уязвимость позволяла вредоносным приложениям, даже тем, которые не имели дополнительных прав доступа к системе, получать токены аутентификации от приложения Authenticator и использовать их для получения доступа к различным сервисам.
Хорошая новость в первую очередь: компания Microsoft уже устранила эту уязвимость в сентябре. Пользователям приложения "Authenticator" на платформе Android следует убедиться, что они используют версию не ниже 6.2606.4246. Специалисты по информационной безопасности из компании Enclave публично сообщили об этой уязвимости. Проблема заключалась в некорректной проверке при запуске приложения, которое вызывает "Authenticator".
Запросы к аутентификатору с бесполезной проверкой подлинности.
Аутентификатор может быть вызван любым приложением на устройстве благодаря соответствующей регистрации в системе Android. Проверяется только наличие вызывающего компонента (Activity) и то, что его идентификатор не равен нулю. Приложение, которое, например, вызывает `startActivityForResult()`, легко соответствует этому требованию. Затем аутентификатор считывает некоторую информацию о вызывающем приложении, такую как название приложения и пакет, идентификаторы клиента и URI перенаправления. Уязвимость заключалась в проверке вызывающего приложения: URI перенаправления, предоставляемый приложением, сравнивается с URI, который указывает на сигнатуру пакета на устройстве. Однако, вызывающее приложение может просто заявить, что оно является другим приложением, и предоставить соответствующий URI перенаправления – таким образом, проверка будет пройдена.
Специалисты в области информационных технологий попытались замаскировать свое приложение под командную работу и получили запрошенные токены доступа от аутентификатора Microsoft. Проще говоря, жертвам необходимо разрешить такой запрос, как указано в описании уязвимости компании Microsoft (CVE-2026-80097, CVSS 8.6, уровень риска "высокий"). Компания Enclave, напротив, заявляет, что взаимодействие с пользователем не требовалось, а брокер имел доступ к рабочей учетной записи. В случае успеха атаки, злоумышленники получают несанкционированный доступ к ресурсам жертв, в ходе тестов исследователи получили полный доступ к почтовым ящикам, файлам и календарям; они могут войти в сеть под именем пользователя, который разрешил аутентификацию.
Аутентификатор на самом деле определяет вызывающее приложение, используя функцию `getCallingActivity().getPackageName()`. Однако он не использует эти данные. Проверка, которая использовалась до сентябрьского обновления, в конечном итоге просто проверяла, существует ли приложение, которое вызывает аутентификатор, и соответствует ли указанный им адрес цифровой подписи заявленному типу приложения.
Непосредственно перед прошлыми выходными стало известно, что компания Microsoft планирует дальнейшее развитие приложения Authenticator, стремясь упростить его использование. Приложение Microsoft Authenticator должно предоставлять более понятные инструкции пользователям, например, при необходимости восстановления учетной записи.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале