Cos'è successo
Una vulnerabilità scoperta dai ricercatori di Enclave ha permesso a un'app Android priva di permessi speciali di presentarsi a Microsoft Authenticator come se fosse un'app Microsoft legittima e ottenere i token di autenticazione emessi dal broker. Il problema, catalogato come CVE-2026-80097, è stato corretto da Microsoft nelle scorse settimane.
Perché la falla è grave
Microsoft Authenticator può svolgere il ruolo di broker di autenticazione nelle configurazioni aziendali che usano Microsoft Identity Platform: gestisce il Single Sign-On (SSO) per app come Teams e altri client Microsoft, centralizzando le richieste di token. In questo modello, il broker riceve e distribuisce token che autorizzano l'accesso a posta, file, calendario e altre risorse aziendali.
Secondo i test di Enclave, l'elemento sfruttato è una componente dell'app che si presta a essere invocata senza una verifica sufficiente dell'identità reale del chiamante: se un'app riusciva a dichiarare autonomamente la propria identità al broker, poteva ricevere i token destinati a un'app legittima.
Versioni coinvolte e stato della correzione
Microsoft indica come vulnerabili le versioni di Microsoft Authenticator per Android dalla 6.0.0 fino a quelle precedenti alla 6.2606.4246. La società ha rilasciato una correzione: gli utenti e le organizzazioni devono verificare di avere installato la versione aggiornata che elimina la falla.
| Elemento | Dettaglio |
|---|---|
| Identificatore CVE | CVE-2026-80097 |
| Versioni vulnerabili | da 6.0.0 fino a precedenti alla 6.2606.4246 |
| Correzione | Risolta da Microsoft con un aggiornamento rilasciato nelle scorse settimane |
Come funziona tecnicamente (quanto riportato dai ricercatori)
- Il meccanismo di brokeraggio dei token si basa sulla delega da parte di MSAL (Microsoft Authentication Library) a un componente locale installato sul dispositivo (broker).
- Broker noti sono Microsoft Authenticator, Intune Company Portal e Collegamento a Windows; il broker gestisce accessi e funzionalità aziendali come Conditional Access.
- Il problema identificato riguarda la componente Android com.microsoft.identity.client.AccountChooserActivity che può essere invocata senza adeguate garanzie sull'identità del chiamante.
Cosa significa per gli utenti
Nei contesti aziendali in cui Microsoft Authenticator è utilizzato come broker SSO, un'app malevola posta sullo stesso dispositivo avrebbe potuto ottenere token utili ad accedere a servizi protetti, esponendo posta elettronica, file e calendario. Il rischio si applica alle versioni dell'app indicate sopra; Microsoft ha già pubblicato la correzione.
Raccomandazioni della fonte
- Controllare la versione di Microsoft Authenticator su dispositivi Android e aggiornare all'ultima release disponibile pubblicata da Microsoft.
- Le organizzazioni dovrebbero verificare le policy di gestione dei dispositivi e dei broker SSO, oltre a monitorare eventuali anomalie nelle autorizzazioni e nelle richieste di token.
La scoperta mette in evidenza la complessità del modello di fiducia che sottende i broker di autenticazione: la delega del rilascio dei token richiede che il broker possa stabilire con certezza l'identità dell'app richiedente. Nel caso esaminato, i ricercatori di Enclave hanno dimostrato come questa garanzia potesse essere elusa, con conseguenze potenzialmente significative per la protezione delle identità aziendali su Android.
