Luka w Microsoft Authenticator: Narzędzie stworzone z myślą o cyberbezpieczeństwie samo stało się źródłem zagrożenia

Eksperci ds. cyberbezpieczeństwa z firmy Enclave odkryli w aplikacji Microsoft Authenticator na system Android poważną podatność, która pozwalała złośliwemu oprogramowaniu na przejmowanie tokenów uwierzytelniających. Luka – nazwana AuthMask – była szczególnie niebezpieczna z jednego powodu: atakujący nie potrzebowali żadnych specjalnych uprawnień systemowych na smartfonie ofiary, aby przeprowadzić skuteczny atak.

Błąd w weryfikacji tożsamości aplikacji

Problem tkwił w sposobie, w jaki Microsoft Authenticator weryfikował aplikacje zgłaszające się po autoryzację. Narzędzie sprawdzało co prawda kluczowe parametry żądania, ale nie upewniało się dostatecznie, czy pochodzi ono z zaufanego źródła.

Eksperci z Enclave zademonstrowali atak w kontrolowanych warunkach za pomocą przygotowanej fałszywej aplikacji podszywającej się pod Microsoft Teams:

1. Przekazanie metadanych: Sklonowana aplikacja przesyłała do Authenticatora poprawne, publicznie znane identyfikatory (m.in. nazwę pakietu, client ID oraz redirect URI).
2. Niedokładne sprawdzenie: Authenticator ustalał sygnaturę prawdziwego pakietu Teams zainstalowanego w systemie, przeliczał odpowiedni identyfikator zwrotny i porównywał go z danymi nadesłanymi przez fałszywkę.
3. Przechwycenie tokenu: Ponieważ metadane były formalnie poprawne, system autoryzował zapytanie. Zabrakło jednak bezpośredniego potwierdzenia tożsamości procesu wysyłającego żądanie, w efekcie czego token dostępu trafiał prosto w ręce złośliwej aplikacji.

Skutki tej podatności są szczególnie istotne dla organizacji korzystających z Microsoft 365, Entra ID oraz mobilnych aplikacji Microsoft. Przejęty token dostępu lub token odświeżania może umożliwiać realne działania w imieniu użytkownika, w tym dostęp do poufnej korespondencji, dokumentów, harmonogramów i danych operacyjnych.

Czas na aktualizację

Microsoft zareagował na zgłoszenie badaczy i opublikował już stosowną łatkę bezpieczeństwa. Luka została wyeliminowana począwszy od wersji 6.2606.4246. Użytkownicy urządzeń z systemem Android powinni niezwłocznie zweryfikować wersję Microsoft Authenticator w sklepie Google Play i dokonać aktualizacji. Na ten moment brak informacji, by podatność dotyczyła wariantu aplikacji przeznaczonego na system iOS.

Warto przeanalizować logi pod kątem nietypowej aktywności na kontach Microsoft 365 oraz – w razie podejrzeń – unieważnić aktywne sesje użytkowników.

Dla organizacji korzystających z mobilnego dostępu do Microsoft 365 to ważne przypomnienie, że bezpieczeństwo tożsamości na urządzeniach końcowych wymaga takiej samej uwagi jak ochrona stacji roboczych i serwerów. Kluczowe znaczenie mają szybkie aktualizacje, polityki zarządzania urządzeniami, kontrola aplikacji oraz aktywne monitorowanie nadużyć tokenów.