Lỗ hổng CVE-2026-80097: Microsoft Authenticator bị khai thác chiếm đoạt Token
Phát hiện lỗ hổng nghiêm trọng CVE-2026-80097 trong Microsoft Authenticator cho Android, cho phép ứng dụng độc hại đánh cắp token truy cập mà không cần quyền đặc biệt.
- Lỗ hổng nghiêm trọng: CVE-2026-80097 (CVSS 8.6) cho phép leo thang đặc quyền cục bộ trên Android.
- Cơ chế tấn công: Ứng dụng độc hại giả mạo danh tính ứng dụng tin cậy để yêu cầu token từ thành phần broker của Authenticator.
- Phạm vi ảnh hưởng: Người dùng Microsoft Authenticator trên Android có tài khoản công việc (work account) đã đăng nhập.
- Giải pháp: Cập nhật ngay lên phiên bản 6.2606.4246 thông qua Google Play.
Các nhà nghiên cứu bảo mật vừa công bố chi tiết về một lỗ hổng bảo mật nghiêm trọng mang mã CVE-2026-80097, ảnh hưởng trực tiếp đến ứng dụng Microsoft Authenticator trên nền tảng Android. Với điểm số CVSS 8.6, lỗ hổng này cho phép các ứng dụng độc hại được cài đặt trên thiết bị có thể đánh cắp token truy cập (access tokens) của tài khoản công việc mà không cần bất kỳ quyền truy cập đặc biệt nào (zero permissions).
Phân tích kỹ thuật lỗ hổng CVE-2026-80097
Lỗ hổng này xuất phát từ cơ chế xác thực không đúng cách trong thành phần broker của Microsoft Authenticator. Cụ thể, thành phần com.microsoft.identity.client.AccountChooserActivity được thiết lập là một exported activity, cho phép các ứng dụng khác trên cùng thiết bị có thể khởi chạy nó. Trong điều kiện bình thường, activity này đóng vai trò trung gian để xử lý các yêu cầu xác thực từ các ứng dụng Microsoft.
Tuy nhiên, các nhà nghiên cứu phát hiện rằng ứng dụng độc hại có thể gửi một yêu cầu broker giả mạo bằng cách tự khai báo các thông tin như: tên gói ứng dụng (package name), ID khách hàng (client ID), URI chuyển hướng (redirect URI) và các phạm vi (scopes) mong muốn. Thay vì kiểm tra danh tính thực sự của ứng dụng gọi (caller), Authenticator chỉ thực hiện xác thực dựa trên các giá trị do chính ứng dụng đó cung cấp.
Cơ chế khai thác và né tránh kiểm tra
Kẻ tấn công có thể giả mạo danh tính của một ứng dụng tin cậy, ví dụ như Microsoft Teams. Quy trình khai thác diễn ra như sau:
- Bước 1: Ứng dụng độc hại khởi chạy
AccountChooserActivityvới thông tin giả mạo là Microsoft Teams. - Bước 2: Authenticator thực hiện kiểm tra URI chuyển hướng dựa trên danh tính được khai báo.
- Bước 3: Do Microsoft Teams đã được cài đặt hợp lệ trên thiết bị, kẻ tấn công có thể xây dựng một URI chuyển hướng khớp với chữ ký gói tin công khai của Teams, qua đó vượt qua bước kiểm tra bảo mật.
- Bước 4: Authenticator trả về kết quả xác thực bao gồm access tokens, refresh tokens và các thông tin định danh khác thông qua activity result bundle.
⚠️ Cảnh báo quan trọng: Việc đánh cắp thành công các token này cho phép kẻ tấn công truy cập trái phép vào các tài nguyên Microsoft Graph như email, lịch, tệp tin trên OneDrive, SharePoint và các dịch vụ Teams mà không cần sự tương tác hay phê duyệt từ người dùng.
Bảng tổng hợp thông tin lỗ hổng
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Mã CVE | CVE-2026-80097 | Lỗ hổng leo thang đặc quyền cục bộ |
| Điểm CVSS | 8.6 (High) | Nguy cơ cao về rò rỉ dữ liệu |
| Thành phần lỗi | com.microsoft.identity.client.AccountChooserActivity | Thiếu kiểm tra danh tính thực của caller |
| Phiên bản vá lỗi | 6.2606.4246 | Khắc phục lỗi xác thực broker |
Khuyến nghị phòng thủ và giảm thiểu rủi ro
Để bảo vệ hệ thống trước các cuộc tấn công dựa trên CVE-2026-80097, các tổ chức và người dùng cá nhân cần thực hiện các biện pháp hardening sau đây:
- Cập nhật phần mềm: Đảm bảo tất cả thiết bị Android đang sử dụng Microsoft Authenticator phiên bản 6.2606.4246 trở lên. Việc cập nhật nên được thực thi thông qua chính sách MDM/EMM đối với các thiết bị doanh nghiệp.
- Kiểm soát ứng dụng: Hạn chế tối đa việc cài đặt ứng dụng từ các nguồn không xác định (sideloading). Các ứng dụng này thường là vector chính để triển khai mã độc khai thác lỗ hổng cục bộ.
- Giám sát hành vi: Đội ngũ SOC cần theo dõi các hoạt động bất thường trên Microsoft Graph, đặc biệt là các yêu cầu cấp quyền (consent) không rõ nguồn gốc hoặc việc sử dụng token từ các thiết bị Android lạ.
- Tuân thủ tiêu chuẩn: Tham khảo tài liệu hướng dẫn chính thức từ NVD (National Vulnerability Database) để cập nhật các thông tin mới nhất về bản vá và cấu hình bảo mật.
Việc khai thác lỗ hổng này một lần nữa khẳng định tầm quan trọng của việc xác thực chặt chẽ các yêu cầu từ ứng dụng bên thứ ba trong môi trường di động. Các nhà phát triển cần đảm bảo rằng mọi thành phần broker phải xác minh danh tính thực của ứng dụng gọi thông qua chữ ký số và UID thay vì tin tưởng vào các tham số do ứng dụng gửi tới.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.
Bài Viết Liên Quan
