[转载]研究人员公布微软身份验证器的高危安全漏洞可冒充微软应用获得账户令牌

--> 本頁主題: [转载]研究人员公布微软身份验证器的高危安全漏洞可冒充微软应用获得账户令牌

蓝莓山药

級別：新手上路 ( 8 )
發帖：354
威望：90 點
金錢：5137 USD
貢獻：0 點
註冊：2026-02-24

网络安全研究员奥菲克莱文日前发布报告披露 AuthMask 攻击链：恶意安卓应用程序可以借助微软身份验证器的身份验证代理，冒充已经安装的微软应用获取账户令牌。该漏洞编号 CVE-2026-80097，安全研究员已经提前通报给微软进行修复，微软则在 9 月发布更新修复漏洞。

技术原理：
微软身份验证器可以只作为 TOTP 验证器使用，即生成 6 位数动态验证码。但微软身份验证器也为微软应用提供身份验证代理服务，即用户通过身份验证器确认后用于登录企业账号获取 Microsoft 365 资源。

问题出在微软开放给其他应用调用的组件中，研究发现调用应用可以在请求中自行填写应用名称、包名、客户端 ID 和重定向地址。身份验证器会根据请求声称的应用身份检查重定向地址，但没有用实际发起调用的应用身份完成授权判断。

例如恶意应用可以声称自己是设备上已经安装的 Microsoft Teams，由于该应用的签名和重定向地址确实存在于设备中，于是微软身份验证器会接受这项伪装，最后将真实令牌返回给实际发起请求的应用。

令牌权限可触及邮件、文件和通行密钥等：
安全研究员测试多种应用身份伪装，以 Microsoft Teams 为例，伪装后取得 Microsoft Graph 委派权限包括读取和发送邮件、访问文件、修改日历、发送 Microsoft Teams 消息以及操作 SharePoint 内容。访问令牌也可以直接访问对应资源，刷新令牌还可以在有效期内换取新的访问令牌。

根据研究，利用缺陷攻击者还可以管理用户的身份验证方式、创建和删除通行密钥，这让风险不止于涉及数据读取，也可能触及到账户本身的登录安全设置等。

升级到最新版即可：
研究人员发现漏洞后已经负责任地将其通报给微软，受影响的主要是安卓版微软身份验证器 6.0.0~6.2606.4246，微软在 9 月 8 日发布 6.2606.4246 版修复该问题。

为避免部分用户长时间未升级新版本，研究人员并未在漏洞修复后就公布漏洞细节，现在已经过去 50 天，研究人员才公布漏洞情况，估计接下来就会有攻击者利用相关缺陷寻找攻击机会。

消息源：Enclave Blog

转自 https://www.landian.news/archives/127683.html

DMCA / ABUSE REPORT | TOP Posted: 10-27 13:10 樓主引用 | 發表評論

日文

級別：新手上路 ( 8 )
發帖：726
威望：88 點
金錢：1838 USD
貢獻：0 點
註冊：2026-08-21

赞(1) | 資料短信推薦編輯

1024

TOP Posted: 10-27 13:22 #1樓引用 | 點評

苏筱熙

級別：天使 ( 14 )
發帖：172514
威望：72859 點
金錢：24862 USD
貢獻：69 點
註冊：2012-09-01

赞(3) | 資料短信推薦編輯

谢谢分享

------------------------

TOP Posted: 10-27 13:45 #2樓引用 | 點評

十亖

級別：聖騎士 ( 11 )
發帖：6153
威望：337 點
金錢：1598 USD
貢獻：23500 點
註冊：2024-06-04

赞(0) | 資料短信推薦編輯

不会影响两步验证吧

------------------------

$

點評

TOP Posted: 10-27 13:50 #3樓引用 | 點評

镶金边

級別：精靈王 ( 12 )
發帖：23004
威望：2277 點
金錢：64968 USD
貢獻：700 點
註冊：2022-05-07

赞(0) | 資料短信推薦編輯

好吃啊

TOP Posted: 10-27 13:58 #4樓引用 | 點評

默@1024

級別：聖騎士 ( 11 )
發帖：7641
威望：807 點
金錢：30450 USD
貢獻：1 點
註冊：2014-04-02

赞(2) | 資料短信推薦編輯

我的版本居然是6.2609

TOP Posted: 10-27 14:03 #5樓引用 | 點評

金色追求

級別：俠客 ( 9 )
發帖：344
威望：155 點
金錢：443 USD
貢獻：2100 點
註冊：2026-04-08

赞(1) | 資料短信推薦編輯

我用谷歌的应该没啥事

TOP Posted: 10-27 14:15 #6樓引用 | 點評

艾丝妲

級別：新手上路 ( 8 )
發帖：103
威望：11 點
金錢：387 USD
貢獻：0 點
註冊：2026-08-26

赞(0) | 資料短信推薦編輯

不懂，看看了

TOP Posted: 10-27 14:20 #7樓引用 | 點評

快乐的图灵

級別：精靈王 ( 12 )
發帖：34653
威望：3446 點
金錢：15048 USD
貢獻：0 點
註冊：2022-02-12

赞(0) | 資料短信推薦編輯

感谢分享

TOP Posted: 10-27 14:45 #8樓引用 | 點評

沧海跨云药神

級別：精靈王 ( 12 )
發帖：1575
威望：451 點
金錢：21368 USD
貢獻：27800 點
註冊：2026-01-26

赞(1) | 資料短信推薦編輯

感谢分享！

TOP Posted: 10-27 14:55 #9樓引用 | 點評

jmszrwx

級別：光明使者 ( 14 )
發帖：102513
威望：10250 點
金錢：2147315761 USD
貢獻：23850 點
註冊：2012-04-26

赞(0) | 資料短信推薦編輯

了解了解

TOP Posted: 10-27 15:22 #10樓引用 | 點評

qqq0623

級別：風雲使者 ( 13 )
發帖：62513
威望：6104 點
金錢：2015967 USD
貢獻：1137 點
註冊：2011-06-06

赞(0) | 資料短信推薦編輯

感谢分享

TOP Posted: 10-27 15:23 #11樓引用 | 點評

火熊眼

級別：聖騎士 ( 11 )
發帖：2087
威望：283 點
金錢：2726 USD
貢獻：20227 點
註冊：2026-01-06

赞(1) | 資料短信推薦編輯

技术贴

TOP Posted: 10-27 15:32 #12樓引用 | 點評

村里的伙计

級別：聖騎士 ( 11 )
發帖：8108
威望：836 點
金錢：19464 USD
貢獻：100 點
註冊：2026-01-02

赞(0) | 資料短信推薦編輯

最近的网络相当卡顿,加载很慢

點評

TOP Posted: 10-27 16:07 #13樓引用 | 點評

灯火阑珊下

級別：光明使者 ( 14 )
發帖：3171
威望：384 點
金錢：921134923 USD
貢獻：2361000 點
註冊：2014-05-26

赞(0) | 資料短信推薦編輯

看看

TOP Posted: 10-27 16:08 #14樓引用 | 點評

聽風

級別：精靈王 ( 12 )
發帖：1125
威望：220 點
金錢：2777 USD
貢獻：123456 點
註冊：2026-02-26

赞(0) | 資料短信推薦編輯

谢谢分享

TOP Posted: 10-27 20:42 #15樓引用 | 點評

徐勤先

級別：聖騎士 ( 11 )
發帖：2080
威望：209 點
金錢：3252 USD
貢獻：24700 點
註冊：2026-02-19

赞(1) | 資料短信推薦編輯

您真是论坛的宝藏，太棒了！

TOP Posted: 10-27 20:53 #16樓引用 | 點評

这是个问题啊

級別：光明使者 ( 14 )
發帖：80878
威望：8163 點
金錢：216 USD
貢獻：137884 點
註冊：2021-01-01

赞(4) | 資料短信推薦編輯

发帖辛苦

TOP Posted: 10-28 01:35 #17樓引用 | 點評

沉睡的木玛

級別：光明使者 ( 14 )
發帖：80878
威望：8253 點
金錢：216 USD
貢獻：132884 點
註冊：2018-11-16

赞(4) | 資料短信推薦編輯

支持发帖

TOP Posted: 10-28 01:35 #18樓引用 | 點評

鸭打鹅

級別：風雲使者 ( 13 )
發帖：71798
威望：7173 點
金錢：53 USD
貢獻：34781 點
註冊：2022-02-02

赞(1) | 資料短信推薦編輯

感谢分享

TOP Posted: 10-28 01:36 #19樓引用 | 點評

立风大爻爻

級別：精靈王 ( 12 )
發帖：23995
威望：4764 點
金錢：16563 USD
貢獻：3110 點
註冊：2024-11-21

赞(1) | 資料短信推薦編輯

防不胜防

------------------------

TOP Posted: 10-28 04:35 #20樓引用 | 點評

虚灵刀

級別：精靈王 ( 12 )
發帖：1992
威望：291 點
金錢：3424 USD
貢獻：66666 點
註冊：2026-06-06

赞(0) | 資料短信推薦編輯

黑客无处不在

TOP Posted: 10-28 09:17 #21樓引用 | 點評

王JN

級別：精靈王 ( 12 )
發帖：12760
威望：1275 點
金錢：30084 USD
貢獻：1045 點
註冊：2024-12-24

赞(0) | 資料短信推薦編輯

感谢分享

TOP Posted: 10-28 09:53 #22樓引用 | 點評

什么档次

級別：新手上路 ( 8 )
發帖：258
威望：26 點
金錢：441 USD
貢獻：0 點
註冊：2026-10-02

赞(0) | 資料短信推薦編輯

很有意思

TOP Posted: 10-28 12:42 #23樓引用 | 點評

史泰龙Stallone

級別：騎士 ( 10 )
發帖：2408
威望：540 點
金錢：18292 USD
貢獻：333 點
註冊：2025-07-14

赞(1) | 資料短信推薦編輯

感谢分享

TOP Posted: 10-30 15:25 #24樓引用 | 點評

快速回帖	頂端
內容： HTML 代碼不可用使用簽名 Wind Code自動轉換	按 Ctrl+Enter 直接提交

.:. 草榴社區 » 技術討論區 » [转载]研究人员公布微软身份验证器的高危安全漏洞可冒充微软应用获得账户令牌
＜上一頁 1 2 下一頁＞	手機版回帖發布主題

＜上一頁 1 2 下一頁＞
.:. 草榴社區 -> 技術討論區

[转载]研究人员公布微软身份验证器的高危安全漏洞 可冒充微软应用获得账户令牌

[转载]研究人员公布微软身份验证器的高危安全漏洞可冒充微软应用获得账户令牌