Une faille de Microsoft Authenticator permet à des applications Android malveillantes de voler des jetons de compte sans aucune autorisation | CVE-2026-80097 | CVSS 8.6

Microsoft a corrigé une faille grave dans Authenticator pour Android, CVE-2026-80097, notée CVSS 8.6, qui pouvait permettre à une application malveillante de voler des jetons d'accès de comptes professionnels. Des chercheurs d'Enclave ont découvert qu'une application non fiable pouvait se faire passer pour une application Microsoft de confiance comme Teams et demander à Authenticator d'émettre un jeton pour cette identité, en exploitant une authentification inadéquate dans une activité Android exportée. Le danger tient au seuil très bas : la demande ne nécessitait ni approbation de l'utilisateur, ni identifiants de compte, ni autorisations Android, il suffisait que l'application malveillante soit installée sur un appareil doté d'Authenticator et d'un compte professionnel.

• LinuxDo2026-10-27 01:21