Un fallo de Microsoft Authenticator permite que aplicaciones Android maliciosas roben tokens de cuentas sin ningún permiso | CVE-2026-80097 | CVSS 8.6
Microsoft ha corregido una grave vulnerabilidad en Authenticator para Android, CVE-2026-80097, con CVSS 8.6, que podría permitir que una aplicación maliciosa robe tokens de acceso de cuentas laborales. Investigadores de Enclave descubrieron que una aplicación no confiable podía hacerse pasar por una aplicación confiable de Microsoft, como Teams, y pedir a Authenticator que emitiera un token para esa identidad, aprovechando una autenticación inadecuada en una actividad de Android exportada. El peligro está en lo bajo del listón: la solicitud no necesitaba aprobación del usuario, ni credenciales de la cuenta, ni permisos de Android, solo que la aplicación maliciosa estuviera instalada en un dispositivo con Authenticator y una cuenta laboral.
FUENTES
- LinuxDo2026-10-27 01:21