微软修复 Authenticator 高危漏洞:零权限恶意 App 可窃取工作账号令牌
basedjensen · x · 2026-10-26
微软已修复 Android 版 Microsoft Authenticator 的高危漏洞 CVE-2026-80097（CVSS 8.6）。恶意 App 无需任何声明权限即可窃取工作账号访问令牌，问题源于 broker 组件的身份验证不当。
Enclave 研究者发现，导出的 AccountChooserActivity 会接受来自不可信应用的 broker 请求：恶意 App 可伪装成 Teams 等可信微软应用请求签发委托令牌，且无需用户批准、凭据或额外权限。微软将其归类为本地权限提升漏洞，影响装有 Authenticator 并登录工作账号的 Android 设备。
「安全」频道最新
- AI 安全科普站「AI Risk, Plainly」上线：10 篇无门槛入门解读 — birchlse · 2026-10-26
- Claude 拒答 SS7 攻击分析，开发者转向去审查版 GLM — l4rz · 2026-10-26
- 哈佛肯尼迪学院 Casper 教授 10 月 28 日办 AI 安全治理 AMA — NeuralNomad87 · 2026-10-26
- 英国投 1.65 亿英镑建 AI 生物安全实验室，DeepMind 参与支持 — pushmeet · 2026-10-26
- Claude Code 在安卓发现 21 万张已删除照片藏身隐藏缩略图缓存 — Loo_Atreides · 2026-10-26
- CNN 指出 AI 正暴露互联网脆弱性，附用户自保建议 — cnn · 2026-10-26