Resumen:
El investigador de seguridad cibernética Aoife Craven publicó recientemente un informe que revela la cadena de ataque AuthMask: las aplicaciones maliciosas de Android pueden usar el proxy de autenticación de Microsoft Authenticator para hacerse pasar por aplicaciones de Microsoft instaladas y obtener tokens de cuenta. La vulnerabilidad tiene el número CVE-2026-80097. Los investigadores de seguridad notificaron a Microsoft con anticipación para solucionarlo, y Microsoft lanzó una actualización para corregir la vulnerabilidad en septiembre.
Microsoft Authenticator solo se puede utilizar como autenticador TOTP, que genera un código de verificación dinámico de 6 dígitos. Sin embargo, Microsoft Authenticator también proporciona servicios de proxy de autenticación para aplicaciones de Microsoft, es decir, los usuarios pueden iniciar sesión en cuentas corporativas para obtener recursos de Microsoft 365 después de haber sido confirmados por el autenticador.
El problema radica en los componentes que Microsoft abre para que otras aplicaciones los llamen. La investigación ha descubierto que la aplicación que llama puede completar el nombre de la aplicación, el nombre del paquete, la identificación del cliente y la dirección de redireccionamiento en la solicitud. El autenticador verifica la dirección de redireccionamiento con la identidad de la aplicación reclamada por la solicitud, pero no completa la determinación de la autorización utilizando la identidad de la aplicación que realmente realizó la llamada.
Por ejemplo, una aplicación maliciosa puede pretender ser Microsoft Teams y ya está instalada en el dispositivo. Dado que la firma y la dirección de redireccionamiento de la aplicación existen en el dispositivo, Microsoft Authenticator aceptará este disfraz y finalmente devolverá el token real a la aplicación que realmente inició la solicitud.
Los investigadores de seguridad probaron varios disfraces de identidad de aplicaciones, tomando como ejemplo Microsoft Teams. Después del disfraz, obtuvieron permisos delegados de Microsoft Graph, que incluían leer y enviar correos electrónicos, acceder a archivos, modificar calendarios, enviar mensajes de Microsoft Teams y operar contenido de SharePoint. Los tokens de acceso también pueden acceder directamente a los recursos correspondientes, y los tokens de actualización también se pueden intercambiar por nuevos tokens de acceso dentro del período de validez.
Según la investigación, los atacantes que explotan la falla también pueden administrar los métodos de autenticación de los usuarios, crear y eliminar claves de acceso, lo que hace que el riesgo no solo esté relacionado con la lectura de datos, sino que también puede involucrar la configuración de seguridad de inicio de sesión de la cuenta misma.
Después de descubrir la vulnerabilidad, los investigadores la informaron responsablemente a Microsoft. Los principales afectados son la versión de Android de Microsoft Authenticator 6.0.0~6.2606.4246. Microsoft lanzó la versión 6.2606.4246 el 8 de septiembre para solucionar el problema.
Para evitar que algunos usuarios no actualicen a la nueva versión durante mucho tiempo, los investigadores no publicaron los detalles de la vulnerabilidad después de que se solucionó. Ahora han pasado 50 días antes de que los investigadores anunciaran la vulnerabilidad. Se estima que los atacantes utilizarán las fallas relevantes para encontrar oportunidades de ataque.
Comentarios