Zusammenfassung:
Die Cyber-Sicherheitsforscherin Aoife Craven hat kürzlich einen Bericht veröffentlicht, in dem die AuthMask-Angriffskette offengelegt wird: Schädliche Android-Anwendungen können den Authentifizierungs-Proxy von Microsoft Authenticator verwenden, um sich als installierte Microsoft-Anwendungen auszugeben und Konto-Tokens zu erhalten. Die Schwachstelle trägt die Nummer CVE-2026-80097. Sicherheitsforscher haben Microsoft im Voraus benachrichtigt, um das Problem zu beheben, und Microsoft hat im September ein Update zur Behebung der Sicherheitslücke veröffentlicht.
Microsoft Authenticator kann nur als TOTP-Authentifikator verwendet werden, der einen 6-stelligen dynamischen Bestätigungscode generiert. Allerdings stellt Microsoft Authenticator auch Authentifizierungs-Proxy-Dienste für Microsoft-Anwendungen bereit, d. h. Benutzer können sich nach Bestätigung durch den Authentifikator bei Unternehmenskonten anmelden, um Microsoft 365-Ressourcen zu erhalten.
Das Problem liegt in den Komponenten, die Microsoft für den Aufruf anderer Anwendungen öffnet. Untersuchungen haben ergeben, dass die aufrufende Anwendung den Anwendungsnamen, den Paketnamen, die Client-ID und die Umleitungsadresse in die Anfrage eingeben kann. Der Authentifikator vergleicht die Umleitungsadresse mit der in der Anforderung beanspruchten Anwendungsidentität, schließt die Autorisierungsbestimmung jedoch nicht anhand der Anwendungsidentität ab, die den Aufruf tatsächlich getätigt hat.
Eine bösartige Anwendung kann beispielsweise behaupten, Microsoft Teams zu sein, die bereits auf dem Gerät installiert ist. Da die Signatur und die Umleitungsadresse der Anwendung auf dem Gerät vorhanden sind, akzeptiert Microsoft Authenticator diese Tarnung und gibt schließlich das echte Token an die Anwendung zurück, die die Anfrage tatsächlich initiiert hat.
Sicherheitsforscher testeten verschiedene Verschleierungen der Anwendungsidentität am Beispiel von Microsoft Teams. Nach ihrer Tarnung erhielten sie delegierte Microsoft Graph-Berechtigungen, darunter das Lesen und Senden von E-Mails, den Zugriff auf Dateien, das Ändern von Kalendern, das Senden von Microsoft Teams-Nachrichten und die Bedienung von SharePoint-Inhalten. Zugriffstoken können auch direkt auf entsprechende Ressourcen zugreifen und Aktualisierungstoken können innerhalb des Gültigkeitszeitraums auch gegen neue Zugriffstoken ausgetauscht werden.
Forschungen zufolge können Angreifer, die die Schwachstelle ausnutzen, auch die Authentifizierungsmethoden der Benutzer verwalten sowie Passschlüssel erstellen und löschen, wodurch sich das Risiko nicht nur auf das Lesen von Daten bezieht, sondern möglicherweise auch die Anmeldesicherheitseinstellungen des Kontos selbst betrifft.
Nachdem die Forscher die Sicherheitslücke entdeckt hatten, haben sie sie verantwortungsvoll an Microsoft gemeldet. Betroffen sind vor allem die Android-Version von Microsoft Authenticator 6.0.0~6.2606.4246. Microsoft hat am 8. September die Version 6.2606.4246 veröffentlicht, um das Problem zu beheben.
Um zu verhindern, dass einige Benutzer längere Zeit kein Upgrade auf die neue Version durchführen, haben die Forscher die Details der Sicherheitslücke nach der Behebung der Sicherheitslücke nicht veröffentlicht. Nun sind 50 Tage vergangen, bis die Forscher die Schwachstelle bekannt gaben. Es wird geschätzt, dass Angreifer die entsprechenden Schwachstellen nutzen werden, um Angriffsmöglichkeiten zu finden.
Kommentare