Microsoft-Authenticator-Lücke ermöglicht es bösartigen Android-Apps, Konto-Token ohne jegliche Berechtigung zu stehlen | CVE-2026-80097 | CVSS 8.6
Microsoft hat eine schwerwiegende Lücke in Authenticator für Android, CVE-2026-80097 mit CVSS 8.6, geschlossen, durch die eine bösartige App Zugriffstoken von Arbeitskonten stehlen konnte. Forscher von Enclave fanden heraus, dass eine nicht vertrauenswürdige App sich als vertrauenswürdige Microsoft-App wie Teams ausgeben und Authenticator auffordern konnte, ein Token für diese Identität auszustellen, indem sie eine unzureichende Authentifizierung in einer exportierten Android-Aktivität ausnutzte. Die Gefahr liegt in der niedrigen Hürde: Die Anfrage brauchte weder eine Nutzerfreigabe noch Kontodaten noch Android-Berechtigungen, es reichte, dass die bösartige App auf einem Gerät mit Authenticator und einem Arbeitskonto installiert war.
QUELLEN
- LinuxDo2026-10-27 01:21