Исследователь безопасности Офек Левин обнаружил уязвимость в приложении Microsoft Authenticator для Android, получившую название AuthMask. Брешь позволяет сторонним приложениям без прав доступа имитировать доверенные программы Microsoft и перехватывать токены учетных записей.
Проблема связана с компонентом AccountChooserActivity, который был помечен как экспортируемый. Это позволяло любому приложению на устройстве запускать данный процесс и получать доступ к данным почты, файлов и календаря пользователя.
Компания Microsoft подтвердила наличие уязвимости и присвоила ей идентификатор CVE-2026-80097. Разработчики уже выпустили исправление, устраняющее ошибку в работе системы аутентификации.
Пользователям рекомендуется обновить Microsoft Authenticator до актуальной версии. Все сборки приложения, выпущенные до версии 6.2606.4246, подвержены риску эксплуатации данной уязвимости.
