产业观察🔥7.0
微软身份验证器高危漏洞：可被应用冒充窃取令牌
📋总体概括
网络安全研究员Ofek Levin披露针对微软身份验证器（Microsoft Authenticator for Android）的AuthMask攻击链：一个没有任何权限的安卓应用可冒充微软第一方应用，诱使身份验证器把令牌交给攻击者应用，进而获得完整的委托邮箱、文件和日历访问权限。研究团队已向微软安全响应中心报告，微软确认漏洞并在该应用中修复，编号CVE-2026-80097，6.2606.4246之前的版本均受影响。用户应尽快更新到最新版本，避免令牌被窃导致账户数据泄露。
⚡关键信息
- ▸研究员Ofek Levin披露AuthMask攻击链，可让微软身份验证器把令牌交给无权限应用
- ▸被窃令牌提供完整的委托邮箱、文件和日历访问权限，危害等级较高
- ▸微软确认漏洞并修复，编号CVE-2026-80097，涉及Android版身份验证器
- ▸6.2606.4246之前版本均受影响，用户需尽快更新
- ▸微软9月曾单月修复974个漏洞创纪录，受益于AI辅助漏洞挖掘
🔥犀利点评
身份验证器本该是安全链的最后一道闸门，如今反成攻击跳板，堪称讽刺。无权限应用能冒充第一方应用骗走令牌，暴露的是Android身份校验机制的薄弱环节，而非微软一家的疏忽。好在微软响应迅速、已修复，但数亿用户里有多少人会主动更新这个从不打开的应用？令牌一旦泄露，邮箱、文件、日历全裸奔，安全的短板永远在用户手里的旧版本上。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 驱动之家 阅读全文 →