Een fout in Microsoft Authenticator voor Android maakte het mogelijk dat schadelijke apps zonder permissies tokens van werkaccounts konden bemachtigen.
Microsoft heeft een kwetsbaarheid opgelost in zijn Authenticator-app voor Android, waardoor een kwaadaardige app zonder benodigde permissies zich kon voordoen als een vertrouwde Microsoft-app, zoals Teams, en zo inlogtokens van het werkaccount van een gebruiker kon stelen. Deze kwetsbaarheid, geregistreerd als CVE-2026-80097, is verholpen in versie 6.2606.4246 van Authenticator voor Android. Gebruikers wordt geadviseerd de app direct te updaten.
Onderzoekers van het beveiligingsbedrijf Enclave, onder leiding van Ofek Levin, ontdekten dat de gestolen tokens volledige toegang gaven tot e-mail, bestanden en agenda van het werkaccount. Microsoft stelt dat misbruik alleen mogelijk is als het slachtoffer een authenticatiestap in Authenticator voltooit en dat er tot nu toe geen aanvallen met deze kwetsbaarheid zijn gemeld.
De kwetsbaarheid zat in een component van Authenticator, genaamd AccountChooserActivity, die door elke app op het apparaat gestart kan worden. De kwaadaardige app kon deze component activeren en daarbij valse gegevens meesturen, waaronder de naam van een legitieme app zoals Teams. Authenticator vertrouwde deze gegevens en gaf het token af. Hoewel er een handtekeningcontrole was bedoeld om dit te voorkomen, faalde deze omdat de echte handtekening van de geïmiteerde app op het apparaat aanwezig was en daardoor werd geaccepteerd. Authenticator controleerde niet welke app daadwerkelijk het verzoek deed.
De onderzoekers toonden aan dat het zich voordoen als Teams en het aanvragen van Microsoft Graph-tokens toegang gaf tot functies zoals het lezen en verzenden van e-mail, en het lezen en schrijven van bestanden en agenda's. Microsoft benadrukt dat een succesvolle aanvaller zich kan authenticeren als de ingelogde gebruiker en toegang krijgt tot diens resources, maar alleen voor het werkaccount dat in Authenticator is aangemeld op dat apparaat.
Er is een verschil in de rapportage tussen Enclave en Microsoft over de mate van gebruikersinteractie die nodig is. Enclave meldde dat tokens konden worden verkregen zonder gebruikersinteractie, behalve dat het account was aangemeld. Microsoft stelt dat misbruik vereist dat een kwaadaardige app wordt geïnstalleerd en dat de gebruiker een authenticatiestroom in Authenticator doorloopt. De kwetsbaarheid kreeg een CVSS-score van 8.6, wat als "Belangrijk" wordt geclassificeerd.
De kwetsbaarheid is onderdeel van de Patch Tuesday-update van september 2026 en is niet publiekelijk bekendgemaakt voordat de patch beschikbaar was. Microsoft meldt dat er geen aanwijzingen zijn dat de fout is misbruikt en dat exploitatie als "minder waarschijnlijk" wordt gezien. De kwetsbaarheid staat ook niet vermeld in het Amerikaanse CISA Known Exploited Vulnerabilities-catalogus per 26 oktober 2026.
De oplossing is het bijwerken van Microsoft Authenticator voor Android naar versie 6.2606.4246 of hoger. Organisaties die Android-apparaten beheren kunnen deze minimale versie afdwingen via hun device management. Het is onduidelijk of een update reeds verkregen tokens ongeldig maakt.
