Microsoft Authenticator Flaw Let Permissionless Android Apps Steal Work Account Tokens
Microsoft ha solucionado una vulnerabilidad en su aplicación Authenticator para Android que permitía que una aplicación maliciosa sin permisos se hiciera pasar por una aplicación legítima, como Teams, con el fin de obtener tokens de inicio de sesión de cuentas de trabajo. Este fallo fue identificado y clasificado por Microsoft, y se recomienda a los usuarios actualizar la aplicación a la versión corregida para solucionar el problema.
La falla se originaba en cómo la aplicación funcionaba como intermediaria para otorgar pases digitales de acceso. Un componente específico podía ser activado por cualquier aplicación en el dispositivo, lo que permitía que una aplicación maliciosa proporcionara datos falsos sobre su identidad y engañara al sistema de autenticación, ya que una verificación de firma existente no impedía este comportamiento a pesar de que la aplicación suplantada estuviera legítimamente instalada.
Como resultado de este problema, las pruebas demostraron que se podían obtener tokens con permisos completos para acceder a correos electrónicos, archivos y calendarios de la cuenta afectada. Sin embargo, existen diferencias entre lo reportado por los investigadores y la postura de Microsoft respecto a si se requería o no la interacción del usuario mediante la realización de un paso de autenticación, aunque se confirmó que no se registraron ataques reales utilizando esta vulnerabilidad antes de su corrección.