Falha no Microsoft Authenticator para Android permite que apps maliciosos roubem tokens de conta sem permissões

A falha, catalogada como CVE-2026-80097 (CVSS 8.6), está no componente broker do Microsoft Authenticator para Android. A Microsoft a classificou como escalonamento de privilégios local por autenticação imprópria. Afeta dispositivos com o Authenticator instalado e uma conta de trabalho conectada. Pesquisadores da Enclave mostraram que um app sem nenhuma permissão declarada podia se passar por um app confiável, como o Teams, e pedir ao Authenticator tokens delegados para essa identidade. Não era preciso aprovação do usuário nem credenciais.

O ponto central era a activity exportada com.microsoft.identity.client.AccountChooserActivity, que qualquer app do aparelho pode iniciar. A requisição trazia nome de pacote, client ID, redirect URI, escopos e até um valor de UID, tudo controlado por quem chamava. O Authenticator validava o redirect URI contra o pacote real do Teams instalado, e o atacante montava um URI válido a partir da assinatura pública do app. Ou seja, o broker checava se a identidade declarada parecia legítima, mas não se o chamador era de fato aquele app. O resultado voltava no bundle da activity, com tokens de acesso, refresh e ID. Dependendo do cliente imitado, o alcance incluía e-mail, calendário, OneDrive, SharePoint e serviços do Teams via Microsoft Graph. A correção veio na versão 6.2606.4246, lançada em julho de 2026.

Não é a primeira vez que o CEVIU registra esse tipo de problema em apps Android da Microsoft. Em 4 de junho de 2026, o CEVIU noticiou "Uma linha de código expôs bilhões de downloads de apps Android da Microsoft": uma flag de depuração esquecida em seis apps, entre eles Word, Excel e Copilot, deixava qualquer app malicioso pedir tokens da conta Microsoft. Agora o vetor muda de lugar. Sai a flag de depuração nos apps clientes e entra uma falha de validação do chamador no próprio Authenticator, o broker de identidade. O padrão de resultado é parecido: app local sem privilégios obtendo tokens.

Para quem opera ambientes Microsoft 365 com Android, a leitura é direta: o app que guarda a identidade do usuário é o alvo, e um app instalado por sideload ou de origem duvidosa bastava para a exploração. Como o conserto saiu em julho, o risco prático está nos dispositivos que ficaram sem atualizar. Vale conferir versões via MDM, restringir sideload e olhar logs de Graph e de uso de token em aparelhos desconhecidos. A fonte não menciona exploração ativa.