CVE-⁠2026-⁠80097 im Microsoft Authenticator – Android-⁠App mindestens auf Version 6.2606.4246 aktualisieren

CVE-⁠2026-⁠80097 betrifft den Microsoft Authenticator unter Android: Eine bösartige App konnte die Identität einer anderen App vortäuschen und dadurch Zugangstoken anfordern. Die Schwachstelle ist besonders relevant, weil die aufrufende App dafür laut den Tests keine zusätzlichen Systemberechtigungen benötigte.

Die Prüfung vertraute der Behauptung der aufrufenden App

Android-⁠Apps konnten den Authenticator über die dafür vorgesehene Registrierung im System aufrufen. Die Sicherheitsprüfung sollte feststellen, ob die aufrufende App zu einer bestimmten Identität gehört. Dafür wurden unter anderem eine Paket-⁠Signatur und eine mitgelieferte Redirect-⁠URI miteinander abgeglichen.

Das Problem: Eine App konnte behaupten, eine andere zu sein, und die dazu passende Redirect-⁠URI selbst mitliefern. Die Prüfung bestätigte damit nicht zuverlässig, wer den Authenticator tatsächlich aufgerufen hatte. Obwohl der Authenticator die aufrufende App über die Android-⁠Funktion `getCallingActivity().getPackageName()` erkennen konnte, nutzte er diese Information für die Prüfung nicht.

Die Forscher von Enclave testeten den Angriff mit einer App ohne zusätzliche Berechtigungen, die sich als Teams ausgab. Der Authenticator gab dabei angeforderte Zugangstoken heraus. Das ist kein Angriff auf ein schwaches Kennwort, sondern ein Fehler in der Kontrolle, welche App einen bereits angemeldeten Authentifizierungsdienst ansprechen darf.

Ein Token kann Zugriff auf verbundene Ressourcen eröffnen

Ein erbeutetes Zugangstoken kann Angreifern Zugriff auf Ressourcen ermöglichen, die dem betroffenen Konto offenstehen. In den Tests der Forscher umfasste das Postfach, Dateien und Kalender. Außerdem konnten sie sich im Netz als der Nutzer anmelden, der die Authentifizierung freigegeben hatte.

Damit reicht es nicht, bei der Bewertung nur auf das betroffene Smartphone zu schauen. Entscheidend ist auch, welche Arbeitsressourcen mit dem angemeldeten Konto verbunden sind. Für Unternehmen mit Microsoft-⁠Diensten kann ein kompromittierter Zugang je nach Berechtigungen mehr betreffen als die Authenticator-⁠App selbst.

Die Angaben zur erforderlichen Nutzeraktion unterscheiden sich

Microsoft beschreibt in seiner Schwachstellenmeldung, dass ein Opfer eine entsprechende Anfrage freigeben muss. Enclave berichtet dagegen von einem Test, bei dem keine Nutzerinteraktion nötig gewesen sei; auf dem Gerät war bereits ein Arbeitskonto angemeldet. Diese Angaben sollte man nicht zu einer pauschalen Aussage zusammenziehen: Die beschriebenen Bedingungen sind unterschiedlich.

Für die Praxis ist die vorsichtige Konsequenz klar. Eine Freigabeaufforderung, die Sie nicht selbst ausgelöst haben oder deren Zusammenhang Sie nicht erkennen, sollten Sie nicht bestätigen. Zugleich ist es keine ausreichende Schutzmaßnahme, ausschließlich auf bewusste Fehlbedienung zu setzen, wenn eine Schwachstelle den Zugriff auf Authentifizierungstoken betrifft.

Die korrigierte Version gehört auf die Android-⁠Geräte

Microsoft hat die Lücke im September behoben. Nutzer des Authenticators unter Android sollten sicherstellen, dass mindestens Version 6.2606.4246 installiert ist. Prüfen Sie das auf den Geräten, auf denen der Authenticator für Arbeitskonten eingesetzt wird, und beziehen Sie dabei auch verwaltete Geräte ein, die nicht täglich im Büro genutzt werden.

Für IT-⁠Verantwortliche ist die Versionsprüfung der konkrete erste Schritt. Eine allgemeine Aufforderung, Mitarbeitende vorsichtiger mit Apps umgehen zu lassen, ersetzt das Update nicht: Der getestete Aufruf kam gerade von einer App ohne zusätzliche Berechtigungen. Auch die sichtbare Identität einer App allein war kein verlässlicher Beleg dafür, wer sie tatsächlich war.

Wenn es Hinweise darauf gibt, dass eine unerwartete Authenticator-⁠Anfrage bestätigt wurde, sollte der Fall als möglicher Zugriff auf das Arbeitskonto behandelt und nach dem etablierten Prozess für Sicherheitsvorfälle bewertet werden. Dabei geht es um die betroffenen Ressourcen und die Aktivitäten des Kontos, nicht nur darum, ob die Authenticator-⁠App noch startet.

Die Vertrauensprüfung muss die tatsächliche App erkennen

Der Vorfall zeigt eine konkrete Grenze von Prüfungen, die sich auf Angaben des Aufrufers verlassen: Eine passende Kennung oder Adresse beweist nicht, dass die App dahinter wirklich die behauptete ist. Für Betreiber ist das ein Grund, die Aktualisierung der Authenticator-⁠App nicht als kosmetische Wartung zu behandeln. Sie korrigiert eine Vertrauensentscheidung an einer Stelle, an der ein erfolgreicher Angriff direkt Zugang zu den Ressourcen eines Arbeitskontos eröffnen konnte.

Prüfen Sie daher die installierte Version des Microsoft Authenticators auf Android und bestätigen Sie keine Authentifizierungsanfrage, die Sie nicht selbst ausgelöst haben.

Quellen: heise – „Microsoft Authenticator: Bösartige Apps konnten Zugangstoken abgreifen“ (https://www.heise.de/news/Microsoft-Authenticator-Boesartige-Apps-konnten-Zugangstoken-abgreifen-11503334.html?wt_mc=rss.red.ho.ho.atom.beitrag.beitrag)