微软修复身份验证器安卓应用高危漏洞 CVE-2026-80097

感谢IT之家网友 华南吴彦祖 的线索投递！

IT之家 10 月 27 日消息，网络安全研究员 Ofek Levin 于上周发布报告，披露了 AuthMask 攻击链，成功让微软身份验证器将令牌交给一个没有任何权限的应用。

该团队研究发现，一个没有权限的安卓应用可以冒充已安装的微软第一方应用，并让微软身份验证器将该应用的令牌交给它，令牌提供了完整的委托邮箱、文件和日历访问权限。

身份验证器暴露了一个名为 com.microsoft.identity.client.AccountChooserActivity 的活动。它运行在 ：auth 进程中，标记为 android：exported=“true”，这意味着设备上的任何应用都可以启动它。

该团队已向微软安全响应中心报告了这个问题。微软确认了这一点，并在 Microsoft Authenticator for Android 中修复了这个问题，漏洞编号为 CVE-2026-80097。IT之家小伙伴注意，6.2606.4246 之前的版本会受漏洞影响，大家可以尽快更新该应用到最新版本。