研究人员公布微软身份验证器的高危安全漏洞 可冒充微软应用获得账户令牌
内容提要
安全研究员披露安卓版微软身份验证器高危漏洞CVE-2026-80097：恶意应用可伪造已安装微软应用身份，骗取验证器签发Microsoft 365访问令牌，进而读取邮件、访问文件、修改日历，甚至管理验证方式、创建或删除通行密钥。微软已于9月8日发布6.2606.4246版修复，建议用户尽快升级。
延伸解读
漏洞核心：身份验证代理的信任错位
该漏洞的关键在于微软身份验证器作为身份验证代理时，仅根据请求中声称的应用身份检查重定向地址，而未验证实际发起调用的应用身份。恶意应用可伪装成设备上已安装的微软应用（如Teams），利用其真实签名和重定向地址通过检查，从而骗取令牌。这提醒我们，OAuth类流程中客户端身份的强验证至关重要，仅依赖声明信息会留下冒充空间。
令牌权限远超邮件读取
攻击者获得的Microsoft Graph委派权限涵盖读取和发送邮件、访问文件、修改日历、发送Teams消息及操作SharePoint内容。更严重的是，刷新令牌可在有效期内换取新令牌，延长访问时间。此外，漏洞还允许管理身份验证方式、创建或删除通行密钥，直接威胁账户登录安全。因此，该漏洞的影响不仅是数据泄露，还可能破坏账户的认证机制。
修复已发布，升级窗口紧迫
微软已于9月8日发布6.2606.4246版修复安卓版身份验证器的该漏洞，影响范围为6.0.0至6.2606.4246。研究人员在修复50天后才公布细节，以给用户升级时间。但公开后，攻击者可能开始利用漏洞寻找未升级设备。安卓用户应尽快检查并升级至最新版，避免因延迟更新而暴露于风险中。
Q&A
微软身份验证器最近爆出了什么高危漏洞？
安卓版微软身份验证器存在高危漏洞CVE-2026-80097，恶意应用可冒充已安装的微软应用，骗取验证器签发的Microsoft 365访问令牌。
这个漏洞的技术原理是什么？
身份验证器在调用应用请求时，允许应用自行填写应用名称、包名、客户端ID和重定向地址，并仅根据声称的身份检查重定向地址，未验证实际调用者身份。恶意应用可伪装成设备上已安装的微软应用（如Teams），从而获得真实令牌。
攻击者利用该漏洞能获取哪些权限？
攻击者可获取Microsoft Graph委派权限，包括读取和发送邮件、访问文件、修改日历、发送Teams消息、操作SharePoint内容，还能管理身份验证方式、创建或删除通行密钥。
哪些版本的微软身份验证器受此漏洞影响？
安卓版微软身份验证器6.0.0至6.2606.4246版本受影响。
微软是否已修复该漏洞？如何修复？
微软已于9月8日发布6.2606.4246版修复该漏洞，建议用户尽快升级到最新版本。
为什么研究人员在漏洞修复后50天才公布细节？
为避免用户长时间未升级新版本而遭受攻击，研究人员在微软发布修复后等待了50天才公布漏洞详情。
