微软身份验证器曝高危漏洞 可被任意应用获取令牌

驱动中国10月27日消息，网络安全研究员Ofek Levin上周发布报告，披露AuthMask攻击链，称微软身份验证器可被未授权安卓应用诱导，将账户令牌交给没有权限的应用。

该团队研究指出，一个没有权限的安卓应用可冒充设备上已安装的微软第一方应用，并让微软身份验证器把令牌交给它。该令牌提供完整的委托邮箱、文件和日历访问权限。

报告称，微软身份验证器暴露了名为com.microsoft.identity.client.AccountChooserActivity的活动，该活动运行在auth进程中，并被标记为android:exported true，因此设备上的任意应用均可启动该活动。

团队已向微软安全响应中心报告该问题。微软确认漏洞，并在Microsoft Authenticator for Android中完成修复，漏洞编号为CVE-2026-80097。

受影响版本为6.2606.4246之前的Microsoft Authenticator for Android版本，用户可更新至最新版本。