Уязвимость Microsoft Authenticator позволяет вредоносным приложениям Android красть токены учётных записей без каких-либо разрешений | CVE-2026-80097 | CVSS 8.6

Microsoft исправила серьёзную уязвимость в Authenticator для Android, CVE-2026-80097, с оценкой CVSS 8.6, которая могла позволить вредоносному приложению красть токены доступа к рабочим учётным записям. Исследователи Enclave обнаружили, что недоверенное приложение могло выдавать себя за доверенное приложение Microsoft, например Teams, и просить Authenticator выдать токен для этой личности, используя ненадлежащую аутентификацию в экспортированной активности Android. Опасность в низком пороге: запрос не требовал ни одобрения пользователя, ни учётных данных, ни разрешений Android — достаточно было, чтобы вредоносное приложение было установлено на устройстве с Authenticator и рабочей учётной записью.

• LinuxDo2026-10-27 01:21