微软身份验证器 Authenticator 曝高危漏洞：恶意 App 无需权限就能窃取账户令牌

微软的身份验证工具 Microsoft Authenticator 被发现存在一个高危漏洞（CVE-2026-80097），CVSS 评分为 8.6 分。

攻击者只需要诱导用户安装一个恶意安卓应用，即使这个 App 没有申请任何系统权限，也可能窃取用户已经 的微软账户令牌。

感谢小熊猫在安全情报下的分享。

10 月 23 日，安全研究机构 Enclave 公开了一项名为 AuthMask 的攻击研究，揭示了安卓版 Microsoft Authenticator 身份验证器的一个高危漏洞，该漏洞早在 2026 年 9 月 8 日就已由微软公开并修复，CVSS 评分为 8.6 分。

恶意 App 无需权限，就能骗取账户令牌

正常情况下，Microsoft Authenticator 负责保护用户的微软账户，包括 验证和身份认证。

但研究人员发现，恶意 App 可以冒充 Microsoft Teams 等微软官方应用，欺骗 Authenticator 向其提供账户访问令牌。

整个过程大致是：

1. 用户安装了一个恶意 Android App。
2. 恶意 App 冒充微软官方应用。
3. Authenticator 错误地向它提供账户令牌。
4. 攻击者利用令牌访问 Outlook 邮件、OneDrive 文件等服务。

整个攻击过程中，恶意 App 不需要申请任何敏感系统权限。 在研究人员演示的条件下，获取令牌时也不需要用户再次确认。

不过，攻击有一个重要前提：用户需要先安装恶意 App。 仅仅使用 Microsoft Authenticator，并不会自动导致账户被盗。

微软已修复该漏洞，安卓用户建议更新

该漏洞影响 Android 版 Microsoft Authenticator，微软已在 6.2606.4246 版本中修复。

iOS 版 Microsoft Authenticator 不受影响。

• 微软官方漏洞公告
• Enclave 安全研究：AuthMask

青小蛙经常使用 Microsoft Authenticator 微软账号一直无法输入任何密码，非常方便

相关阅读

• Google Authenticator 新版本发布，支持启用云同步，数据将保存在 Google 账号中。
• 微软今天砍掉了帐户密码，从此登录再也无需密码。
• ente Authenticator – 开源二次验证 2FA 工具：云存储、同步、导入导出[Android/iOS]
• 微软：人工智能初学者课程，一共12周、24节课
• 微软的 150 款免费软件[部分，待更新]

2021 青小蛙 for

小众软件

加入我们

投稿

订阅指南

3659b075e72a5b7b1b87ea74aa7932ff

点击这里留言、和原作者一起评论

[ 点击前往获取链接 ]