Ο ερευνητής Ofek Levin της Enclave έδειξε ότι μια εφαρμογή Android χωρίς καμία άδεια μπορούσε να παρουσιαστεί ως Microsoft Teams και να πάρει από το Microsoft Authenticator tokens πρόσβασης σε εταιρικό λογαριασμό. Με αυτά είχε πρόσβαση σε email, αρχεία, ημερολόγιο και συνομιλίες Teams. Το πρόβλημα ήταν ότι το Authenticator έλεγχε την ταυτότητα που δήλωνε η εφαρμογή και όχι την εφαρμογή που πραγματικά έκανε το αίτημα. Η Microsoft διόρθωσε το κενό ως CVE-2026-80097 στην έκδοση 6.2606.4246 και δεν αναφέρει επιθέσεις.

Τι σημαίνει: Το Microsoft Authenticator είναι για πολλές εταιρείες το κλειδί για όλα: email, αρχεία, Teams και εφαρμογές που συνδέονται μέσω Entra ID. Ένα κενό που επιτρέπει σε μια φαινομενικά αθώα εφαρμογή, χωρίς καν να ζητήσει άδειες, να πάρει πρόσβαση σε αυτά δείχνει ότι το κινητό του εργαζομένου είναι μέρος της εταιρικής περιμέτρου, είτε το ελέγχει η εταιρεία είτε όχι. Η Microsoft υποστηρίζει ότι το θύμα έπρεπε να ολοκληρώσει ένα βήμα σύνδεσης, ενώ οι ερευνητές λένε ότι δεν χρειαζόταν αλληλεπίδραση· σε κάθε περίπτωση, η διόρθωση είναι διαθέσιμη. Για ελληνικές επιχειρήσεις με Microsoft 365, το πρώτο βήμα είναι να βεβαιωθούν ότι όλες οι συσκευές έχουν την τελευταία έκδοση της εφαρμογής, κάτι που μπορεί να επιβληθεί μέσω εργαλείων διαχείρισης κινητών όπως το Intune. Πολιτικές πρόσβασης υπό όρους, που απαιτούν ενημερωμένη και συμμορφούμενη συσκευή, περιορίζουν τον κίνδυνο από παρόμοια κενά στο μέλλον. Δεν είναι σαφές αν η ενημέρωση ακυρώνει tokens που πιθανόν έχουν ήδη κλαπεί, οπότε σε περίπτωση υποψίας αξίζει ανάκληση των συνεδριών των χρηστών από την κονσόλα διαχείρισης.

Διαβάστε το πρωτότυπο στο Enclave

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις