要約:
サイバー セキュリティ研究者のアオイフェ クレイブン氏は、最近、AuthMask 攻撃チェーンを明らかにするレポートを発表しました。悪意のある Android アプリケーションは、Microsoft Authenticator の認証プロキシを使用して、インストールされている Microsoft アプリケーションになりすましてアカウント トークンを取得する可能性があります。この脆弱性には CVE-2026-80097 の番号が付けられています。セキュリティ研究者は事前にMicrosoftにこの脆弱性を修正するよう通知しており、Microsoftは9月にこの脆弱性を修正するアップデートをリリースした。
Microsoft Authenticator は、6 桁の動的検証コードを生成する TOTP 認証システムとしてのみ使用できます。ただし、Microsoft Authenticator は Microsoft アプリケーションの認証プロキシ サービスも提供します。つまり、ユーザーは企業アカウントにログインして、Authenticator による確認後に Microsoft 365 リソースを取得できます。
問題は、Microsoft が他のアプリケーションを呼び出すために公開するコンポーネントにあります。調査の結果、呼び出し側アプリケーションはリクエストにアプリケーション名、パッケージ名、クライアント ID、リダイレクト アドレスを入力できることが判明しました。オーセンティケータは、リクエストによって要求されたアプリケーション ID に対してリダイレクト アドレスをチェックしますが、実際に呼び出しを行ったアプリケーション ID を使用して認可の決定を完了するわけではありません。
たとえば、悪意のあるアプリケーションは、デバイスにすでにインストールされている Microsoft Teams であると主張する可能性があります。アプリケーションの署名とリダイレクト アドレスはデバイス上に存在するため、Microsoft Authenticator はこの偽装を受け入れ、最終的に実際に要求を開始したアプリケーションに本物のトークンを返します。
セキュリティ研究者は、Microsoft Teams を例として、さまざまなアプリケーション ID の偽装をテストしました。偽装後、電子メールの読み取りと送信、ファイルへのアクセス、カレンダーの変更、Microsoft Teams メッセージの送信、SharePoint コンテンツの操作など、Microsoft Graph から委任されたアクセス許可を取得しました。アクセストークンは対応するリソースに直接アクセスすることもでき、リフレッシュトークンは有効期間内に新しいアクセストークンに交換することもできます。
調査によると、この欠陥を悪用する攻撃者はユーザーの認証方法を管理したり、パスキーを作成および削除したりすることもできるため、リスクはデータの読み取りに関連するだけでなく、アカウント自体のログイン セキュリティ設定にも関係する可能性があります。
この脆弱性を発見した後、研究者は責任を持ってマイクロソフトに報告しました。主な影響を受けるのはAndroid版Microsoft Authenticator 6.0.0～6.2606.4246。 Microsoft はこの問題を修正するために、9 月 8 日にバージョン 6.2606.4246 をリリースしました。
一部のユーザーが長期間にわたって新バージョンにアップグレードしないことを防ぐため、研究者らは脆弱性が修正された後、脆弱性の詳細を公開しませんでした。現在、研究者がこの脆弱性を発表するまでに 50 日が経過しました。攻撃者は関連する欠陥を利用して攻撃の機会を見つけると推定されています。
コメント