Аннотация:
Исследователь кибербезопасности Аойф Крэйвен недавно опубликовала отчет, раскрывающий цепочку атак AuthMask: вредоносные приложения Android могут использовать прокси-сервер аутентификации Microsoft Authenticator, чтобы выдавать себя за установленные приложения Microsoft для получения токенов учетной записи. Уязвимость имеет номер CVE-2026-80097. Исследователи безопасности заранее уведомили Microsoft о необходимости исправить эту уязвимость, и в сентябре Microsoft выпустила обновление для устранения уязвимости.
Microsoft Authenticator можно использовать только в качестве аутентификатора TOTP, который генерирует шестизначный динамический код проверки. Однако Microsoft Authenticator также предоставляет прокси-службы аутентификации для приложений Microsoft, то есть пользователи могут входить в корпоративные учетные записи для получения ресурсов Microsoft 365 после подтверждения со стороны аутентификатора.
Проблема заключается в компонентах, которые Microsoft открывает для вызова других приложений. Исследования показали, что вызывающее приложение может указать в запросе имя приложения, имя пакета, идентификатор клиента и адрес перенаправления. Аутентификатор сверяет адрес перенаправления с идентификатором приложения, заявленным в запросе, но не завершает определение авторизации с использованием идентификатора приложения, которое фактически совершило вызов.
Например, вредоносное приложение может выдавать себя за Microsoft Teams, уже установленную на устройстве. Поскольку подпись и адрес перенаправления приложения существуют на устройстве, Microsoft Authenticator примет эту маскировку и, наконец, вернет реальный токен приложению, которое фактически инициировало запрос.
Исследователи безопасности протестировали различные варианты маскировки удостоверений приложений на примере Microsoft Teams. После маскировки они получили делегированные разрешения Microsoft Graph, включая чтение и отправку электронных писем, доступ к файлам, изменение календарей, отправку сообщений Microsoft Teams и управление контентом SharePoint. Токены доступа также могут напрямую обращаться к соответствующим ресурсам, а токены обновления также можно обменивать на новые токены доступа в течение срока действия.
Согласно исследованиям, злоумышленники, воспользовавшиеся этой уязвимостью, также могут управлять методами аутентификации пользователей, создавать и удалять ключи доступа, что делает риск не только связанным с чтением данных, но также может затрагивать настройки безопасности входа в саму учетную запись.
После обнаружения уязвимости исследователи ответственно сообщили о ней в Microsoft. В основном затронуты версии Microsoft Authenticator для Android 6.0.0~6.2606.4246. 8 сентября Microsoft выпустила версию 6.2606.4246 для устранения этой проблемы.
Чтобы некоторые пользователи не могли обновиться до новой версии в течение длительного времени, исследователи не публиковали подробности уязвимости после ее устранения. Прошло 50 дней, прежде чем исследователи объявили об уязвимости. Предполагается, что злоумышленники будут использовать соответствующие недостатки, чтобы найти возможности для атаки.
Комментарии