Microsoft Authenticatorの脆弱性により、悪意あるAndroidアプリが権限なしでアカウントトークンを窃取可能に | CVE-2026-80097 | CVSS 8.6

マイクロソフトは、Android版Authenticatorの高深刻度脆弱性CVE-2026-80097（CVSS 8.6）を修正した。この脆弱性により、悪意あるアプリが職場アカウントのアクセストークンを窃取できる恐れがあった。Enclaveの研究者によると、信頼できないアプリがTeamsなどの信頼できるマイクロソフト製アプリになりすまし、エクスポートされたAndroidアクティビティの不適切な認証を悪用して、その身元向けのトークン発行をAuthenticatorに要求できたという。危険なのはハードルが極めて低い点だ。その要求にはユーザーの承認も、アカウントの認証情報も、Androidの権限も不要で、Authenticatorと職場アカウントがあるデバイスに悪意あるアプリがインストールされているだけでよかった。

• LinuxDo2026-10-27 01:21