无需额外权限，微软身份验证器被曝令牌窃取漏洞

凤凰网科技讯 10月27日，据安全研究团队 Enclave 上周披露，安卓版微软身份验证器 Microsoft Authenticator 存在高危安全漏洞，攻击者可利用该漏洞伪装成已安装的微软官方应用，诱使身份验证器返回账户访问令牌。研究人员表示，在其测试中，无需额外应用权限及受害者交互，即可获取工作账户的相关访问权限。

Enclave 研究员 Ofek Levin 指出，漏洞涉及身份验证器中一个对外开放的活动组件。恶意应用能够自行构造身份验证请求，并冒充微软 Teams 等应用发起请求。由于身份验证器未将真实调用方身份有效用于信任校验，攻击者构造的请求仍可能通过验证，进而获取访问令牌和刷新令牌。

研究人员测试发现，利用该漏洞获取的令牌可用于访问工作账户的邮件、文件和日历等资源。攻击者还可能请求其他微软服务的相关权限，具体影响取决于令牌所获授权范围。

Enclave 表示，已将问题报告给微软安全响应中心。微软确认该漏洞并发布修复，漏洞编号为 CVE-2026-80097，受影响的是版本号低于 6.2606.4246 的安卓版 Microsoft Authenticator。研究团队建议用户尽快将应用更新至已修复版本。(作者/宋淑美)

更多一手新闻，欢迎下载凤凰新闻客户端订阅凤凰网科技。想看深度报道，请微信搜索“凤凰网科技”。