微软身份验证器 Authenticator 曝高危漏洞：恶意 App 无需权限就能窃取账户令牌

微软的身份验证工具 Microsoft Authenticator 被发现存在一个高危漏洞（CVE-2026-80097），CVSS 评分为 8.6 分。 攻击者只需要诱导用户安装一个恶意安卓应用，即使这个 App 没有申请任何系统权限，也可能窃取用户已经登录的微软账户令牌。 感谢小熊猫在安全情报下的分享。 10 月 23 日，安全研究机构 Enclave 公开了一项名为 AuthMask 的攻击研究，揭示了安卓版 Microsoft Authenticator 身份验证器的一个高危漏洞，该漏洞早在 2026 年 9 月 8 日就已由微软公开并修复，CVSS 评分为 8.6 分。

恶意 App 无需权限，就能骗取账户令牌

正常情况下，Microsoft Authenticator 负责保护用户的微软账户，包括登录验证和身份认证。 但研究人员发现，恶意 App 可以冒充 Microsoft Teams 等微软官方应用，欺骗 Authenticator 向其提供账户访问令牌。 整个过程大致是：

• 用户安装了一个恶意 Android App。
• 恶意 App 冒充微软官方应用。
• Authenticator 错误地向它提供账户令牌。
• 攻击者利用令牌访问 Outlook 邮件、OneDrive 文件等服务。 整个攻击过程中，恶意 App 不需要申请任何敏感系统权限。 在研究人员演示的条件下，获取令牌时也不需要用户再次确认。 不过，攻击有一个重要前提：用户需要先安装恶意 App。 仅仅使用 Microsoft Authenticator，并不会自动导致账户被盗。

微软已修复该漏洞，安卓用户建议更新

该漏洞影响 Android 版 Microsoft Authenticator，微软已在 6.2606.4246 版本中修复。 iOS 版 Microsoft Authenticator 不受影响。 相关链接：

• 微软官方漏洞公告
• Enclave 安全研究：AuthMask 原文： 青小蛙经常使用 Microsoft Authenticator 登录微软账号一直无法输入任何密码，非常方便

相关阅读

• Google Authenticator 新版本发布，支持启用云同步，数据将保存在 Google 账号中。
• 微软今天砍掉了帐户密码，从此登录再也无需密码。
• ente Authenticator – 开源二次验证 2FA 工具：云存储、同步、导入导出[Android/iOS]
• 微软：人工智能初学者课程，一共12周、24节课
• 微软的 150 款免费软件[部分，待更新] ©2021 青小蛙 for 小众软件 | 加入我们 | 投稿 | 订阅指南 3659b075e72a5b7b1b87ea74aa7932ff 点击这里留言、和原作者一起评论[ 点击前往获取链接 ]