Android版Microsoft Authenticatorに深刻度の高い脆弱性が見つかりました。Androidの権限を一切持たない悪意あるアプリが、被害者がサインイン中の職場アカウントの認証トークンを盗み出せる状態でした。Microsoft 365のメールやファイル、カレンダー、その他の企業リソースが危険にさらされるおそれがありました。
Microsoftはこの問題を、Authenticatorのバージョン6.2606.4246以降で修正しました。CVE-2026-80097として追跡されています。
この弱点を発見したのは、Enclaveのフェローシッププログラムで活動するセキュリティ研究者のOfek Levin氏です。問題は、エクスポートされたAndroidアクティビティcom.microsoft.identity.client.AccountChooserActivityにありました。
このアクティビティはエクスポートされていたため、同じAndroid端末にインストールされた任意のアプリから呼び出せました。攻撃が成立する条件は、Microsoft Authenticatorがインストールされ、認証済みの職場アカウントが登録されていることです。
脆弱なコンポーネントは、Microsoftアプリケーション向けのトークンブローカーとして動作していました。ところが、主要なID情報を攻撃者が制御できるインテントのエクストラから直接受け取っていました。具体的には、申告されたパッケージ名、クライアントID、リダイレクトURI、要求されたスコープ、呼び出し元のUIDです。
このソフトウェアは、Androidの呼び出し元アクティビティの仕組みを使えば、アクティビティを実際に呼び出したアプリを特定できました。しかし、その検証済みの身元を認可の判断には使っていませんでした。
代わりに、検証ルーチンは「渡されたリダイレクトURIが、呼び出し元が名乗るパッケージの署名から導かれるリダイレクトURIと一致するか」だけを評価していました。
この結果、信頼モデルに欠陥が生じました。攻撃者は、端末にインストールされた正規のMicrosoftアプリの名を騙り、そのアプリの公開パッケージ情報と署名由来のリダイレクトURIを端末から取得できます。あとは一致する値を送信するだけで、検証を通過できたのです。
概念実証(PoC)では、研究者がMicrosoft Teamsになりすまし、Microsoft Graphの権限を要求しました。得られた委任アクセストークンには、メールボックスの読み取り・書き込み、メール送信、カレンダーへのアクセス、ファイルへのアクセス、SharePointへのアクセス、Teamsのチャット機能などの権限が含まれていました。
Levin氏はさらに、別のMicrosoftクライアントになりすませば、異なるスコープのトークンを取得できることも示しました。認証方法やパスキー操作に関するアクセスも含まれます。ブローカーは、アクティビティを起動したアプリに対し、認証成功の結果を返していました。
調査によると、応答パッケージにはアクセストークン、リフレッシュトークン、IDトークン、クライアント情報が可読な形式で含まれる場合がありました。悪意あるアプリは、ユーザーの追加操作なしに被害者のMicrosoft IDを利用できます。
MicrosoftはCVE-2026-80097にCVSSスコア8.6(重要度「高」)を付与し、CWE-287(不適切な認証)に分類しました。この脆弱性はMicrosoft Security Response Centerに報告され、2026年9月8日に修正されました。影響を受けるのは、Android版Microsoft Authenticatorのバージョン6.2606.4246より前を実行している端末です。
組織は、管理対象のAndroid端末に更新版のAuthenticatorを速やかに配布する必要があります。あわせて、エンドポイント管理ツールでモバイルアプリの更新状況を確認し、Microsoft 365のトークン利用に不審な点がある端末を調査してください。
セキュリティチームは、想定外の委任Graphアクティビティや異常なリフレッシュトークンの利用、見慣れないモバイルクライアントからのアカウントアクセスも、侵害の兆候となり得るものとして扱うべきです。
ANY.RUNは、1万6,000以上のSOCチームが脅威調査の効率化と手作業の削減に活用しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/microsoft-authenticator-flaw/
