Microsoft ha rilasciato una patch che corregge una grave vulnerabilità presente nell’app Authenticator per Android. I ricercatori di Enclave hanno scoperto che un’app Android potrebbe impersonare qualsiasi app Microsoft e ottenere i token di autenticazione per l’accesso all’account.
Descrizione della vulnerabilità e soluzione
La vulnerabilità, indicata con CVE-2026-80097, è stata risolta da Microsoft l’8 settembre, ma solo ora è disponibile la descrizione del problema. Si tratta di una vulnerabilità che consente l’elevazione dei privilegi locali. Il problema riguarda i dispositivi Android su cui è installato Microsoft Authenticator e configurati con un account di lavoro.
Un’app Android potrebbe ad esempio impersonare Microsoft Teams e ottenere i token di autenticazione per l’accesso all’account, senza interazione dell’utente. Ciò era dovuto al bug presente nel broker di Microsoft Authenticator, il componente che gestisce l’autenticazione, il mantenimento dei token e l’accesso Single Sign-On (SSO).
Quando l’app che impersona Team invia una richiesta all’app Microsoft Authenticator, quest’ultima non verifica se la richiesta è arrivata effettivamente dalla vera app Teams. Authenticator fornisce quindi i token all’app fasulla consentendo l’accesso all’account di lavoro.
Un cybercriminale potrebbe così accedere ad altri servizi associati, tra cui Outlook, OneDrive o SharePoint tramite Microsoft Graph. Impersonando Teams si potrebbero ottenere autorizzazioni che consentono di leggere e scrivere email, inviare messaggi, accedere a file e modificare i calendari. La vulnerabilità è particolarmente rilevante per le organizzazioni che utilizzano dispositivi Android per accedere a Microsoft 365.
L’azienda di Redmond ha risolto il problema con la versione 6.2606.4246 di Microsoft Authenticator per Android. Le organizzazioni e i singoli utenti dovrebbero aggiornare l’app tramite Google Play il prima possibile e verificare che i dispositivi gestiti utilizzino una versione aggiornata.
Ti potrebbe interessare
27 ott 2026