- 发布日期
研究人员公布微软身份验证器的高危安全漏洞 可冒充微软应用获得账户令牌
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
网络安全研究员奥菲克莱文日前发布报告，披露名为AuthMask的攻击链。该攻击链利用微软身份验证器的身份验证代理机制，使恶意Android应用能够冒充设备上已安装的微软应用，进而获取账户令牌。相关漏洞编号为CVE-2026-80097，研究人员已提前通报微软，微软于9月发布更新完成修复。
微软身份验证器既可仅作为TOTP验证器使用，生成6位数动态验证码，也为微软应用提供身份验证代理服务。用户通过身份验证器确认后，可登录企业账号并获取Microsoft 365资源。此次问题集中在微软开放给其他应用调用的组件中，波及Android版微软身份验证器的身份验证流程。
研究发现，调用应用可以在请求中自行填写应用名称、包名、客户端ID和重定向地址。身份验证器会根据请求声称的应用身份检查重定向地址，却没有使用实际发起调用的应用身份完成授权判断。这一授权判断缺口，成为攻击链得以成立的关键。
例如，恶意应用可以声称自己是设备上已经安装的Microsoft Teams。由于该应用的签名和重定向地址确实存在于设备中，微软身份验证器会接受这项伪装，最终将真实令牌返回给实际发起请求的应用。研究员对多种应用身份伪装进行了测试，Microsoft Teams是其中一例。
以伪装Microsoft Teams为例，攻击者取得Microsoft Graph委派权限后，可读取和发送邮件、访问文件、修改日历、发送Microsoft Teams消息以及操作SharePoint内容。访问令牌可以直接访问对应资源，刷新令牌还可以在有效期内换取新的访问令牌，从而延长攻击者利用令牌的时间窗口。
研究还显示，利用该缺陷，攻击者可以管理用户的身份验证方式、创建和删除通行密钥。这意味着风险不止于数据读取，也可能触及账户本身的登录安全设置。受影响的主要是Android版微软身份验证器6.0.0至6.2606.4246版本，微软在9月8日发布6.2606.4246版修复该问题。
研究人员发现漏洞后已负责任地通报微软。为避免部分用户长时间未升级新版本，研究人员并未在漏洞修复后立即公布漏洞细节；在修复发布50天后，研究人员才公开漏洞情况。研究人员估计，接下来会有攻击者利用相关缺陷寻找攻击机会。
