Una vulnerabilidad crítica en Microsoft Authenticator para Android podía permitir que aplicaciones maliciosas obtuvieran tokens de sesión de Microsoft sin que la persona afectada tuviera que intervenir. Con esos tokens, un atacante podía hacerse pasar por aplicaciones legítimas y acceder a información de trabajo, como correos electrónicos, chats de Teams, calendarios y archivos.
Microsoft ya corrigió el problema y recomienda actualizar Authenticator de inmediato. La vulnerabilidad se identifica como CVE-2026-80097 y afectaba a las versiones de Android anteriores a la 6.2606.4246.
Cómo se aprovechaba la falla
Microsoft Authenticator funciona como aplicación de autenticación multifactor y también puede facilitar que otras aplicaciones legítimas accedan a una cuenta de trabajo. Por ejemplo, una aplicación como Teams puede solicitar a Authenticator la autorización necesaria para conectarse a la cuenta de Microsoft de una persona.
Investigadores de seguridad de Enclave analizaron este mecanismo en un entorno controlado. Comprobaron que una aplicación podía hacerse pasar por una aplicación oficial de Microsoft al presentar datos legítimos, como el nombre del paquete, el identificador de cliente y la URI de redirección. Authenticator validaba esos datos, pero no comprobaba adecuadamente qué aplicación los estaba proporcionando.
Como resultado, una aplicación no confiable podía obtener tokens de sesión y acceder a servicios y datos asociados a la cuenta. Según los investigadores, la aplicación de prueba pudo consultar correos, mensajes de Teams, calendarios y archivos, además de realizar acciones como enviar mensajes o modificar determinados elementos.
Sin permisos especiales ni aprobación del usuario
La falla resultaba especialmente preocupante porque la aplicación maliciosa no necesitaba permisos extensos de Android. Tampoco era necesario que la persona aprobara una solicitud de inicio de sesión, ni que el atacante conociera sus credenciales. El proceso podía ejecutarse en segundo plano, sin una notificación visible para el usuario.
Enclave informó del hallazgo al Centro de Respuesta de Seguridad de Microsoft. La compañía confirmó el problema y publicó una corrección. Los investigadores señalaron que realizaron las pruebas de forma controlada y que no encontraron evidencias de que la vulnerabilidad se hubiera explotado en ataques reales.
Qué deben hacer los usuarios
Microsoft recomienda instalar Authenticator para Android en su versión 6.2606.4246 o posterior desde Google Play Store. Comprueba que tienes la versión actualizada y activa las actualizaciones automáticas para reducir el riesgo de quedar expuesto a futuras vulnerabilidades.
La falla solo podía aprovecharse si una aplicación llegaba a instalarse en el dispositivo. Por ello, también conviene evitar archivos APK de sitios desconocidos y descargar aplicaciones únicamente de fuentes confiables. Aunque no hay constancia de explotación activa, mantener Authenticator actualizado es una medida esencial para proteger las cuentas y los datos asociados.
from Latest from TechRadar https://ift.tt/GxO5mSY
via IFTTT IA
