Microsoft Autentitator Flow Пусть без разрешения Android Applications Scount Tokens

Microsoft зафиксировал ошибку в своём Autentitator app for Android, которая позволяет злоумышленнику без разрешения представлять себя как доверенное приложение Miccos, например Geams, и собирать символы для рабочего счета жертвы. Microsoft отслеживает недостаток как CVE-2026-80097 и исправляет его в Autentitator для версии 6.260.6.4246, так что любой, кто использует приложение должен обновить. В тестах исследователей жетоны дали полный доступ к электронной почте, файлам и календарю. Microsoft говорит, что эксплуатация также требует от жертвы завершения процедуры регистрации в Autentitator и что этот недостаток не использовался при нападениях. Исследования были проведены Офеком Левином, который работал в программе стипендий в фирме "Энклав", которая опубликовала технические детали 23 октября 2026 года. Microsoft назначил CVE 8 сентября и оценил его в 8,6 по шкале CVSS, которая обозначает "Important". На Android Autentitator имеет больше чем шестизначные коды. Она также выступает в роли брокера: когда командам, Outlook или другому приложениям Microsoft нужно подписаться на пользователя, она просит Autentitator, и Aucomertitator возвращает символ, цифровой пропуск, который доказывает запись пользователя. Поскольку брокер контролирует доступ ко всему счету, он должен быть осторожен с тем приложением, которому он дает знак. Недостаток позволил неправильному приложению получить его. Autenticator разоблачает компонент, вид деятельности под названием AccountChooserActivity, который…