Falha já corrigida no Microsoft Authenticator para Android expôs contas corporativas

No Android, o Authenticator faz mais que gerar códigos de seis dígitos. Ele atua como broker de autenticação: quando Teams, Outlook ou outro app da Microsoft precisa logar o usuário, pede um token ao Authenticator. O problema, catalogado como CVE-2026-80097, estava aí. Um componente chamado AccountChooserActivity podia ser iniciado por qualquer app do aparelho, e o Authenticator montava o pedido de token com valores enviados pelo app chamador, inclusive o nome do app que ele dizia ser. Um app malicioso sem permissões se declarava Teams e o broker aceitava.

A checagem de assinatura não barrou o ataque. Ela consultava a assinatura real do app imitado, e como o Teams estava de fato instalado, a assinatura existia e batia. O Authenticator conseguia ver qual app havia feito a chamada, segundo a Enclave, mas não usava essa informação na decisão. Nos testes do pesquisador Ofek Levin, os tokens do Microsoft Graph deram acesso para ler e enviar e-mails, ler e gravar arquivos e calendários. Valem só para a conta de trabalho logada no Authenticator daquele dispositivo. A Microsoft atribuiu o CVE em 8 de setembro, deu nota 8,6 no CVSS ("Important") e corrigiu na versão 6.2606.4246. A Enclave publicou os detalhes em 23 de outubro de 2026.

O padrão não é inédito. Em 4 de junho de 2026, o CEVIU noticiou "Uma linha de código expôs bilhões de downloads de apps Android da Microsoft", sobre uma flag de depuração esquecida em seis apps Android da Microsoft que permitia a um app malicioso obter tokens de acesso à conta. Naquele caso a falha estava nos apps clientes. Agora está no próprio broker, o Authenticator, que centraliza a emissão de tokens. São casos distintos, mas ambos mostram o risco de apps Android da Microsoft entregarem tokens a apps não confiáveis.

Para quem opera uma frota Android corporativa, a leitura é prática: o Authenticator é um componente de alto privilégio e deve ter versão mínima exigida. Dá para impor 6.2606.4246 ou superior via gestão de dispositivos. Há ainda uma divergência a pesar: a Enclave diz que o proof of concept funcionou sem interação do usuário, enquanto a Microsoft exige que a vítima conclua um fluxo de login. Em risco, vale assumir o cenário mais duro. Também fica em aberto se a atualização invalida tokens já obtidos, o que a Microsoft não esclarece. Quem tiver suspeita pode avaliar, por conta própria, medidas de revogação de sessões.