微软身份验证器曝高危漏洞 任意应用可冒充取令牌

微软身份验证器（Microsoft Authenticator）被曝出一处高危漏洞：攻击链代号 AuthMask，安卓设备上一款不带任何权限的应用，就能冒充已安装的微软第一方应用，让身份验证器把真实账户令牌交出来。安全公司 Enclave 研究员 Ofek Levin 于10月23日公开研究细节，微软已将其编号为 CVE-2026-80097，定级为重要（Important），CVSS 评分为8.6。

问题出在身份验证器对外开放的账户选择组件。该组件运行在独立的 auth 进程中，并被标记为 exported=true，设备上任意应用都可以拉起它。更关键的是，调用方可以在请求里自行填写应用名称、包名、客户端 ID 和重定向地址，身份验证器只核对所声称应用的重定向地址与设备上已装应用的签名是否一致，却不校验真正发起调用的应用是谁——研究员发现身份验证器其实能识别调用者，只是这一信息完全没有参与信任判断。

以冒充 Microsoft Teams 为例，恶意应用可以拿到携带委派权限的访问令牌与刷新令牌，能够读取和发送邮件、访问文件、修改日历、操作 SharePoint，还能以用户身份在 Teams 中发言；刷新令牌在有效期内可反复换取新的访问令牌。研究员还测试了另一种伪装路径，冒充身份验证器自身客户端后，甚至可以创建和删除用户的通行密钥，风险从数据窃取延伸到账户安全设置层面。

Enclave 表示，攻击前提是设备上已安装身份验证器并登录了工作账户，测试中未发现该漏洞被在野利用的证据。研究团队此前已通过微软安全响应中心负责任地通报，微软在9月8日发布的 6.2606.4246 版本中完成修复；为给用户留出升级窗口，细节在修复约50天后才选择公开。

受影响范围是 6.2606.4246 之前的安卓版微软身份验证器。由于漏洞利用不需要额外的用户交互配合，研究员建议安卓用户尽快将应用升级到最新版本，企业用户更应通过移动设备管理策略强制推送更新。

编译自 Expert Insights，原标题："Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens"