Microsoft Authenticator: Bösartige Apps konnten Zugangstoken abgreifen

Eine recht unglückliche Sicherheitslücke haben IT-Forscher in Microsofts Authenticator entdeckt. Sie ermöglichte bösartigen Apps, auch solchen ohne weitere Rechte im System, dem Authenticator Zugangstoken zu Diensten zu entlocken.

Die gute Nachricht vorweg: Microsoft hat die Schwachstelle bereits im September ausgebessert. Nutzerinnen und Nutzer des Authenticators unter Android sollten sicherstellen, dass sie mindestens Version 6.2606.4246 einsetzen. IT-Sicherheitsforscher der Firma Enclave haben die Schwachstelle nun öffentlich gemacht. Das Problem bestand in einer wirkungslos ausgestalteten Prüfung der App, die den Authenticator aufruft.

Authenticator-Anfragen mit nutzloser Echtheitsprüfung

Der Authenticator lässt sich aufgrund der entsprechenden Registrierung im Android-System von jeder App auf dem Gerät aufrufen. Geprüft wird lediglich, ob es überhaupt eine aufrufende Activity gibt, ob deren Abfrage also ungleich null ist – eine App, die etwa startActivityForResult() aufruft, erfüllt das spielend. Der Authenticator liest daraufhin einige Informationen zu der aufrufenden App, etwa App- und Paketnamen, Client-IDs und eine Redirect-URI. Die Lücke lag nun in der Überprüfung der aufrufenden App, bei der die Redirect-URI, die die App mitliefert, mit einer verglichen wird, die die Paketsignatur auf dem Gerät angibt. Nur – die aufrufende App kann einfach behaupten, eine andere zu sein, und dort ebendiese Redirect-URI passend mitliefern – die Prüfung ist bestanden.

Die IT-Forscher haben auf diese Weise probiert, ihre App ohne Berechtigungen als Teams auszugeben, und haben die angefragten Zugangstoken von Microsofts Authenticator erhalten. Im Klartext. Opfer müssen eine solche Anfrage freigeben, wie Microsoft in der eigenen Schwachstellenbeschreibung ausführt (CVE-2026-80097, CVSS 8.6, Risiko „hoch“) – Enclave gibt hingegen an, dass keine Nutzerinteraktion nötig war, der Broker verfügte lediglich über ein angemeldetes Arbeitskonto. Passiert das, erhalten die Angreifer unbefugten Zugang zu den freigegebenen Ressourcen der Opfer, in den Tests der Forscher etwa vollen Zugriff auf Postfach, Dateien und Kalender; sie können sich im Netz als der User anmelden, der die Authentifizierung freigegeben hat.

Der Authenticator kennt die aufrufende App jedoch eigentlich durch den Aufruf der Funktion getCallingActivity().getPackageName(). Nur verwendete er dieses Wissen nicht. Die bis zum September-Update genutzte Prüfung hat am Ende lediglich überprüft, ob es eine App gibt, die den Authenticator aufruft, und ob die von ihr angegebene Adresse zur Signatur der App passt, die sie zu sein behauptet.

Kurz vor dem vergangenen Wochenende wurde bekannt, dass Microsoft den Authenticator weiterentwickelt und dabei die Bedienung vereinfachen will. Der Microsoft Authenticator soll deutlichere Handlungsaufforderungen liefern, wenn Nutzerinnen und Nutzer sich etwa um eine Kontowiederherstellung kümmern müssen.