Исследователь безопасности Офек Левин раскрыл детали уязвимости AuthMask в приложении Microsoft Authenticator для Android. Брешь, получившая идентификатор CVE-2026-80097, позволяла вредоносным программам выдавать себя за официальные приложения Microsoft для получения токенов доступа.
Проблема крылась в компоненте аутентификационного брокера. Злоумышленники могли подменять название приложения, имя пакета, идентификатор клиента и адрес перенаправления. Authenticator не проверял реальную личность отправителя запроса, доверяя предоставленным данным.
При имитации таких приложений, как Microsoft Teams, атакующие получали доступ к чтению почты, файлам, календарям и данным SharePoint. Кроме того, уязвимость позволяла управлять методами аутентификации и изменять ключи доступа, что ставило под угрозу безопасность учетной записи.
Уязвимость затрагивала версии Microsoft Authenticator для Android с 6.0.0 по 6.2606.4246. Microsoft выпустила исправление 8 сентября в версии 6.2606.4246. Исследователь опубликовал отчет спустя 50 дней после выхода обновления, чтобы пользователи успели установить патч.
