Résumé :
Le chercheur en cybersécurité Aoife Craven a récemment publié un rapport révélant la chaîne d'attaque AuthMask : des applications Android malveillantes peuvent utiliser le proxy d'authentification de Microsoft Authenticator pour usurper l'identité des applications Microsoft installées afin d'obtenir des jetons de compte. La vulnérabilité est numérotée CVE-2026-80097. Les chercheurs en sécurité ont informé Microsoft à l'avance de la correction, et Microsoft a publié une mise à jour pour corriger la vulnérabilité en septembre.
Microsoft Authenticator peut être utilisé uniquement comme authentificateur TOTP, qui génère un code de vérification dynamique à 6 chiffres. Cependant, Microsoft Authenticator fournit également des services proxy d'authentification pour les applications Microsoft, c'est-à-dire que les utilisateurs peuvent se connecter aux comptes d'entreprise pour obtenir des ressources Microsoft 365 après avoir été confirmés par l'authentificateur.
Le problème réside dans les composants que Microsoft ouvre pour que d'autres applications puissent les appeler. Des recherches ont montré que l'application appelante peut indiquer le nom de l'application, le nom du package, l'ID client et l'adresse de redirection dans la demande. L'authentificateur vérifie l'adresse de redirection par rapport à l'identité de l'application revendiquée par la demande, mais ne termine pas la détermination de l'autorisation en utilisant l'identité de l'application qui a réellement effectué l'appel.
Par exemple, une application malveillante peut prétendre être Microsoft Teams déjà installée sur l'appareil. Étant donné que la signature et l'adresse de redirection de l'application existent sur l'appareil, Microsoft Authenticator acceptera ce déguisement et renverra finalement le véritable jeton à l'application qui a réellement initié la demande.
Les chercheurs en sécurité ont testé divers déguisements d'identité d'application, en prenant Microsoft Teams comme exemple. Après déguisement, ils ont obtenu des autorisations déléguées à Microsoft Graph, notamment la lecture et l'envoi d'e-mails, l'accès aux fichiers, la modification des calendriers, l'envoi de messages Microsoft Teams et l'exploitation du contenu SharePoint. Les jetons d'accès peuvent également accéder directement aux ressources correspondantes, et les jetons d'actualisation peuvent également être échangés contre de nouveaux jetons d'accès pendant la période de validité.
Selon les recherches, les attaquants qui exploitent la faille peuvent également gérer les méthodes d'authentification des utilisateurs, créer et supprimer des clés d'accès, ce qui rend le risque non seulement lié à la lecture des données, mais peut également impliquer les paramètres de sécurité de connexion du compte lui-même.
Après avoir découvert la vulnérabilité, les chercheurs l'ont signalée de manière responsable à Microsoft. Les principales versions concernées sont la version Android de Microsoft Authenticator 6.0.0~6.2606.4246. Microsoft a publié la version 6.2606.4246 le 8 septembre pour résoudre le problème.
Afin d'éviter que certains utilisateurs ne passent pas à la nouvelle version pendant une longue période, les chercheurs n'ont pas publié les détails de la vulnérabilité une fois la vulnérabilité corrigée. Aujourd’hui, 50 jours se sont écoulés avant que les chercheurs n’annoncent la vulnérabilité. On estime que les attaquants utiliseront les failles pertinentes pour trouver des opportunités d'attaque.
Commentaires