Σοβαρό κενό ασφαλείας στο Microsoft Authenticator

Ερευνητές ασφαλείας πληροφοριακών συστημάτων ανακάλυψαν μια αρκετά σοβαρή ευπάθεια στο Microsoft Authenticator. Η ευπάθεια αυτή επέτρεπε σε κακόβουλες εφαρμογές — ακόμη και σε εκείνες που δεν διέθεταν πρόσθετα δικαιώματα στο σύστημα — να εξαπατήσουν το Authenticator, ώστε να τους παραχωρήσει διακριτικά πρόσβασης (access tokens) για διάφορες υπηρεσίες.

Τα καλά νέα είναι ότι η Microsoft διόρθωσε την ευπάθεια ήδη από τον Σεπτέμβριο. Οι χρήστες του Authenticator σε Android θα πρέπει να βεβαιωθούν ότι χρησιμοποιούν τουλάχιστον την έκδοση 6.2606.4246. Η ευπάθεια αποκαλύφθηκε από ερευνητές ασφαλείας της εταιρείας Enclave. Το πρόβλημα υπήρχε σε έναν ανεπαρκή έλεγχο της εφαρμογής που καλούσε το Authenticator.

Λόγω του τρόπου με τον οποίο το Authenticator είναι καταχωρημένο στο λειτουργικό σύστημα Android, οποιαδήποτε εφαρμογή στη συσκευή μπορεί να το καλέσει. Ο μοναδικός έλεγχος που πραγματοποιούσε ήταν αν υπήρχε κάποια “δραστηριότητα” (activity) που έκανε κλήση — με άλλα λόγια, αν το αίτημα δεν ήταν κενό (null). Μια εφαρμογή που καλεί, για παράδειγμα, τη συνάρτηση `startActivityForResult()`, πληροί εύκολα αυτή την προϋπόθεση.

Στη συνέχεια, το Authenticator διαβάζει ορισμένες πληροφορίες για την εφαρμογή που πραγματοποιεί την κλήση, όπως το όνομα της εφαρμογής, το όνομα του πακέτου (package name), τα αναγνωριστικά πελάτη (client IDs) και ένα URI ανακατεύθυνσης (redirect URI). Το πρόβλημα υπήρχε στον τρόπο ελέγχου της εφαρμογής που πραγματοποιεί την κλήση: το URI ανακατεύθυνσης που παρείχε η εφαρμογή συγκρινόταν με εκείνο που καθοριζόταν από την υπογραφή του πακέτου στη συσκευή. Το ζήτημα ήταν ότι η εφαρμογή που πραγματοποιούσε την κλήση μπορούσε απλώς να ισχυριστεί ότι είναι κάποια άλλη εφαρμογή και να παρέχει το αντίστοιχο URI ανακατεύθυνσης — με αποτέλεσμα ο έλεγχος να θεωρείται επιτυχής.

Οι ερευνητές χρησιμοποίησαν αυτή τη μέθοδο για να υποδυθούν την εφαρμογή Teams — χρησιμοποιώντας μια δική τους εφαρμογή που δεν είχε κανένα δικαίωμα πρόσβασης. Έτσι κατάφεραν να αποκτήσουν τα ζητούμενα διακριτικά πρόσβασης από το Microsoft Authenticator.

Τα διακριτικά αυτά ήταν σε μορφή απλού κειμένου (plain text). Όπως εξηγεί η ίδια η Microsoft στην περιγραφή της ευπάθειας (CVE-2026-80097, CVSS 8.6, κίνδυνος “υψηλός”), τα θύματα πρέπει να εγκρίνουν ένα τέτοιο αίτημα.

Ωστόσο, η Enclave αναφέρει ότι δεν απαιτούνταν καμία αλληλεπίδραση από τον χρήστη· αρκούσε το γεγονός ότι στο σύστημα ήταν συνδεδεμένος ένας επαγγελματικός λογαριασμός (work account). Εάν ήταν, οι επιτιθέμενοι αποκτούσαν μη εξουσιοδοτημένη πρόσβαση στους κοινόχρηστους πόρους των θυμάτων. Στις δοκιμές που πραγματοποίησαν οι ερευνητές, απέκτησαν, για παράδειγμα, πλήρη πρόσβαση στο inbox, στα αρχεία και στο ημερολόγιο. Επιπλέον, μπορούσαν να συνδεθούν στο δίκτυο υποδυόμενοι τον χρήστη που ενέκρινε την ταυτοποίηση.

Το Authenticator έχει τη δυνατότητα να γνωρίζει ποια εφαρμογή το καλεί, μέσω της συνάρτησης `getCallingActivity().getPackageName()`. Ωστόσο, η πληροφορία αυτή δεν αξιοποιούνταν. Μέχρι την ενημέρωση Σεπτεμβρίου, ο έλεγχος επιβεβαίωνε απλώς ότι μια εφαρμογή καλούσε το Authenticator και ότι η διεύθυνση που παρείχε αντιστοιχούσε στην υπογραφή της εφαρμογής την οποία ισχυριζόταν ότι εκπροσωπεί.

Λίγο πριν από το περασμένο Σαββατοκύριακο, έγινε γνωστό ότι η Microsoft συνεχίζει την ανάπτυξη του Authenticator και επιδιώκει να καταστήσει τη χρήση του ευκολότερη. Το Microsoft Authenticator θα δίνει σαφέστερες οδηγίες/προτροπές, όταν οι χρήστες το χρειάζονται για σημαντικές ενέργειες όπως η ανάκτηση ενός λογαριασμού.