Microsoft Authenticator 漏洞讓無權 Android 應用盜取工作帳戶令牌

Swati KhandelwalOct 27, 2026漏洞 / 行動裝置安全

Microsoft 已修復其 Android 版 Authenticator 應用程式中的一個缺陷，該缺陷允許沒有許可權的惡意應用偽裝成受信任的 Microsoft 應用程式（例如 Teams），並為受害者的工作帳號收集登入令牌。

Microsoft 將此缺陷追蹤為CVE-2026-80097，並在 Android 版 Authenticator 6.2606.4246 中修復，使用者應即時更新。

在研究人員的測試中，這些令牌可完全存取帳號的電子郵件、檔案與行事曆。Microsoft 表示，利用此漏洞仍需受害者在 Authenticator 完成一次登入步驟，且此缺陷尚未被用於攻擊。

此研究由安全公司Enclave的獎學金計畫工作者 Ofek Levin 進行，並於 2026 年 10 月 23 日公佈技術細節。Microsoft 在 9 月 8 日指定 CVE，並以 CVSS 等級 8.6 評分，標示為「重要」。

在 Android 上，Authenticator 不僅顯示六位數碼；它還擔任仲介角色：當 Teams、Outlook 或其他 Microsoft 應用程式需要登入使用者時，會請求 Authenticator，Authenticator 再回傳一個令牌，證明使用者已登入。由於仲介掌控整個帳號的存取權，應謹慎決定授予哪個應用程式令牌。

該缺陷使錯誤的應用能取得令牌。Authenticator 對外公開一個名為AccountChooserActivity的元件，任何裝置上的應用都可啟動。當攻擊者的應用啟動它時，Authenticator 以攻擊者提供的值（包括其自稱的應用名稱）構造令牌請求。該應用聲稱自己是 Teams，仲介便相信了。

應該有簽名檢查來阻止此行為，但未能發揮作用。檢查會查詢被冒充應用的真實簽名，並確認請求與其相符。由於 Teams 真正安裝在裝置上，其真實簽名可被讀取，檢查因此通過。

Enclave 發現 Authenticator 亦能看到實際發出請求的應用程式，但未將此資訊用於決定是否交付令牌。

在 Enclave 的測試中，偽裝為 Teams 並請求 Microsoft Graph 令牌可取得閱讀與傳送郵件、讀寫檔案、讀寫行事曆等許可權。

Microsoft 以更一般的方式描述此結果：成功的攻擊者可以已登入使用者的身分進行驗證，並存取該使用者的資源。這些令牌僅適用於該裝置上已登入 Authenticator 的工作帳號，而非其他帳號。

兩方說法在一點上有分歧，讀者需自行衡量。Enclave 報告其概念驗證可在沒有任何使用者互動（僅需已登入帳號）的情況下取得令牌。

Microsoft 的安全公告指出，利用此漏洞需在裝置安裝惡意應用並說服使用者在 Authenticator 完成驗證流程。其 CVSS 分數亦顯示此缺陷需要使用者互動。

Microsoft表示該漏洞尚未被利用，且在修補前未公開披露，並將利用機率評估為「較低」。此漏洞屬於公司 September 2026 Patch Tuesday，並非該月已被標記為已被攻擊的兩個 Windows 漏洞之一。此漏洞截至 2026 年 10 月 26 日，未列入美國 CISA 已知已被利用漏洞目錄。

修復方式是將 Microsoft Authenticator for Android 更新至 6.2606.4246 或更高版本，詳細請參考 Microsoft 的建議。管理 Android 裝置的組織可透過裝置管理要求此最低版本。Microsoft 的建議提供了修復方法，但未說明更新是否能取消惡意應用已取得的任何權杖，相關資訊仍不明確。

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 上追蹤我們，以閱讀更多專屬內容。