Falha no Microsoft Authenticator permite que apps Android maliciosos roubem tokens de contas sem nenhuma permissão | CVE-2026-80097 | CVSS 8.6

A Microsoft corrigiu uma falha grave no Authenticator para Android, CVE-2026-80097, com CVSS 8.6, que poderia permitir que um app malicioso roubasse tokens de acesso de contas de trabalho. Pesquisadores da Enclave descobriram que um app não confiável podia se passar por um app confiável da Microsoft, como o Teams, e pedir ao Authenticator que emitisse um token para essa identidade, explorando uma autenticação inadequada em uma atividade exportada do Android. O perigo está no baixo limiar: a solicitação não precisava de aprovação do usuário, nem de credenciais da conta, nem de permissões do Android, bastando que o app malicioso estivesse instalado em um dispositivo com o Authenticator e uma conta de trabalho.

• LinuxDo2026-10-27 01:21