Lỗ hổng trên Microsoft Authenticator cho phép ứng dụng độc hại đánh cắp token tài khoản công việc

Microsoft đã phát hành bản vá cho một lỗ hổng bảo mật trên ứng dụng Microsoft Authenticator dành cho Android (được định danh là CVE-2026-80097). Lỗ hổng này cho phép các ứng dụng độc hại không cần quyền đặc biệt vẫn có thể giả mạo thành các ứng dụng tin cậy (như Microsoft Teams) để thu thập token đăng nhập của người dùng.

Theo báo cáo từ nhà nghiên cứu Ofek Levin thuộc công ty bảo mật Enclave, lỗ hổng này nằm ở thành phần AccountChooserActivity. Khi một ứng dụng độc hại kích hoạt thành phần này, Authenticator sẽ xây dựng yêu cầu token dựa trên thông tin do ứng dụng đó cung cấp. Do cơ chế kiểm tra chữ ký số bị lỗi, Authenticator đã tin tưởng nhầm rằng yêu cầu này đến từ một ứng dụng hợp lệ như Teams.

Nếu bị khai thác thành công, kẻ tấn công có thể chiếm đoạt token và truy cập vào các dữ liệu nhạy cảm của người dùng như email, tệp tin và lịch làm việc trên tài khoản công việc. Microsoft đã đánh giá lỗ hổng này ở mức 8.6 (Important) trên thang điểm CVSS.

Các điểm lưu ý quan trọng:

• Phạm vi ảnh hưởng: Lỗ hổng chỉ áp dụng cho tài khoản công việc đang đăng nhập trên thiết bị đó.
• Trạng thái khai thác: Microsoft khẳng định chưa ghi nhận bất kỳ vụ tấn công thực tế nào sử dụng lỗ hổng này và đánh giá khả năng bị khai thác là “ít xảy ra”.
• Yêu cầu người dùng: Mặc dù nhóm nghiên cứu cho biết có thể lấy token mà không cần tương tác, Microsoft cho rằng việc khai thác đòi hỏi người dùng phải thực hiện các bước xác thực trong ứng dụng Authenticator.

Để đảm bảo an toàn, người dùng và các tổ chức quản lý thiết bị di động cần cập nhật ứng dụng Microsoft Authenticator lên phiên bản 6.2606.4246 hoặc mới hơn ngay lập tức. Hiện tại, Microsoft chưa xác nhận liệu việc cập nhật ứng dụng có tự động thu hồi các token đã bị đánh cắp trước đó hay không.

Nguồn tham khảo: The Hacker News