微软身份验证器安卓版爆高危漏洞！任意 App 冒充拿令牌，邮箱/文件/日历全暴露
🔓 微软身份验证器安卓版爆高危漏洞！任意 App 冒充拿令牌，邮箱/文件/日历全暴露
CVE-2026-80097，CVSS 8.6 高危，6.2606.4246 之前版本受影响，已修复请速更新
👉 查看微软官方公告最近，网络安全研究员 Ofek Levin 公开报告了一起针对 安卓版微软身份验证器（Microsoft Authenticator for Android）的高危漏洞。攻击者只需诱导用户安装一个 无任何权限 的恶意 App，即可冒充微软第一方应用（如 Microsoft Teams），骗取 Microsoft Identity Validator（微软身份验证器）吊发与企业账户绑定的访问令牌。这些令牌拥有 邮箱、OneDrive 文件、日历 等完整委托访问权限。
漏洞编号为 CVE-2026-80097，CVSS 评分为 8.6 分（高危）。微软已于近期推送修复版本 6.2606.4246，用户应尽快更新。
📋 漏洞核心信息
⚔️ 攻击链全解析：AuthMask
安全团队将此漏洞命名为 AuthMask 攻击链。其核心机制如下：
1️⃣ 暴露的组件
Microsoft Authenticator for Android 中的 AccountChooserActivity 组件被错误地配置为 exported="true"，并在独立进程中运行。
2️⃣ 任意调用
这意味着设备上的 任意应用 都可以启动该 Activity，无需特殊权限。
3️⃣ 身份欺骗 核心突破
恶意 App 伪造意图，冒充微软第一方应用（如 Teams、Outlook）请求令牌，Authenticator 误以为是合法应用。
4️⃣ 默许吊发
由于 Broker 组件缺少有效的调用方校验，错误地将绑定账户的访问令牌授予恶意 App。
5️⃣ 权限扩散
拿到的令牌拥有邮箱、文件、日历等 完整委托权限，可直接访问企业内部数据。
攻击者无需声明任何权限，亦无需绕过 Android 沙箱 —— 只需一个 APK 安装诱骗，便可获取受害者在 Office 365 / Azure AD 环境下的敏感访问凭据。
🎯 影响范围与潜在危害
受影响产品
Microsoft Authenticator for Android（iOS 版不受影响，仅限安卓版）。
受影响用户
所有使用 Microsoft Authenticator 进行工作或学校账户 SSO 登录的安卓用户，尤其是企业部署场景中配置了 Intune 或 Azure AD 的用户。
潜在危害
- 邮箱内容泄露
- OneDrive / SharePoint 文件被恶意读取
- 日历、联系人等个人信息被盗
- 可用获取的令牌作为跳板，进一步攻击企业内部网络
✅ 已知修复情况
微软已确认漏洞并于 2026 年 9 月 推送修复版本 6.2606.4246。修复方式涉及对 AccountChooserActivity 组件的导出属性以及 Broker 组件的调用方身份验证逻辑。
💡 OpenCVE 建议： 目前没有公开可用的 Workaround，唯一推荐方案是将 Microsoft Authenticator 更新到 6.2606.4246 或更高版本。
🛡️ 如何保护自己
1️⃣ 立即更新
打开 Google Play 商店，检查 Microsoft Authenticator 是否已更新到 6.2606.4246 或更高版本。
👉 点击前往更新
2️⃣ 检查令牌
如曾在近期使用 Authenticator 登录第三方应用，建议到 Azure 门户检查是否异常授权，并吊销疑问令牌。
3️⃣ 开启双重验证
为 Microsoft 账户启用 MFA（多因素认证），降低单令牌泄露后的风险。
4️⃣ 安装来路可信应用
尽量从 Google Play 商店下载应用，不随意安装未知来源 APK。
🎯 总结与展望
CVE-2026-80097 突显了移动安全验证器在本地组件防护上的脆弱性。一个简单的 exported="true" 配置，便为攻击者打开了权限提升的大门。这也提醒开发团队在安卓应用开发中必须严格遵循最小权限原则，特别是涉及账户 Broker / SSO 的组件，务必进行调用方身份校验。
对于百姓而言，保持应用最新、开启多因素验证、不随意安装第三方 APK 仍然是防护漏洞的最有效手段。
💡 结语： 遇到此类漏洞时，请第一时间前往官方通道检查受影响版本，及时更新防护措施。感谢网络安全研究员们的贡献，他们的披露才让我们这些用户能第一时间做好防范。本文整理自 Ofek Levin / Enclave 团队公开报告、微软 MSRC 官方通告及 IT之家、快科技、凤凰网科技等媒体报道。转载请注明出处。