Riassunto:
Il ricercatore di sicurezza informatica Aoife Craven ha recentemente pubblicato un rapporto che rivela la catena di attacchi AuthMask: applicazioni Android dannose possono utilizzare il proxy di autenticazione di Microsoft Authenticator per impersonare le applicazioni Microsoft installate per ottenere token di account. La vulnerabilità è numerata CVE-2026-80097. I ricercatori di sicurezza hanno avvisato Microsoft in anticipo per risolvere il problema e Microsoft ha rilasciato un aggiornamento per correggere la vulnerabilità a settembre.
Microsoft Authenticator può essere utilizzato solo come autenticatore TOTP, che genera un codice di verifica dinamica di 6 cifre. Tuttavia, Microsoft Authenticator fornisce anche servizi proxy di autenticazione per le applicazioni Microsoft, ovvero gli utenti possono accedere agli account aziendali per ottenere risorse Microsoft 365 dopo essere stati confermati dall'autenticatore.
Il problema risiede nei componenti che Microsoft apre affinché altre applicazioni possano essere richiamate. La ricerca ha scoperto che l'applicazione chiamante può inserire nella richiesta il nome dell'applicazione, il nome del pacchetto, l'ID client e l'indirizzo di reindirizzamento. L'autenticatore confronta l'indirizzo di reindirizzamento con l'identità dell'applicazione rivendicata dalla richiesta, ma non completa la determinazione dell'autorizzazione utilizzando l'identità dell'applicazione che ha effettivamente effettuato la chiamata.
Ad esempio, un'applicazione dannosa può spacciarsi per Microsoft Teams già installata sul dispositivo. Poiché la firma e l'indirizzo di reindirizzamento dell'applicazione esistono sul dispositivo, Microsoft Authenticator accetterà questo travestimento e infine restituirà il vero token all'applicazione che ha effettivamente avviato la richiesta.
I ricercatori di sicurezza hanno testato vari camuffamenti dell'identità delle applicazioni, prendendo come esempio Microsoft Teams. Dopo essersi mascherati, hanno ottenuto autorizzazioni delegate da Microsoft Graph, tra cui la lettura e l'invio di e-mail, l'accesso a file, la modifica di calendari, l'invio di messaggi di Microsoft Teams e l'utilizzo di contenuti di SharePoint. I token di accesso possono anche accedere direttamente alle risorse corrispondenti e i token di aggiornamento possono anche essere scambiati con nuovi token di accesso entro il periodo di validità.
Secondo la ricerca, gli aggressori che sfruttano la falla possono anche gestire i metodi di autenticazione degli utenti, creare ed eliminare chiavi di accesso, il che rende il rischio non solo legato alla lettura dei dati, ma può coinvolgere anche le impostazioni di sicurezza di accesso dell'account stesso.
Dopo aver scoperto la vulnerabilità, i ricercatori l'hanno segnalata responsabilmente a Microsoft. Le principali interessate sono la versione Android di Microsoft Authenticator 6.0.0~6.2606.4246. Microsoft ha rilasciato la versione 6.2606.4246 l'8 settembre per risolvere il problema.
Per evitare che alcuni utenti non aggiornino alla nuova versione per molto tempo, i ricercatori non hanno pubblicato i dettagli della vulnerabilità dopo che la vulnerabilità è stata risolta. Ora sono passati 50 giorni prima che i ricercatori annunciassero la vulnerabilità. Si stima che gli aggressori sfrutteranno le vulnerabilità rilevanti per trovare opportunità di attacco.
Commenti