Microsoft ha solucionado una vulnerabilidad en su aplicación Authenticator para Android que permitía a una aplicación maliciosa sin permisos hacerse pasar por una aplicación de confianza de Microsoft, como Teams, y recopilar tokens de inicio de sesión de la cuenta de trabajo de la víctima. La falla, registrada como CVE-2026-80097, quedó resuelta en la versión 6.2606.4246 de Authenticator para Android, por lo que se recomienda a los usuarios actualizar la aplicación.
En las pruebas de los investigadores, los tokens obtenidos daban acceso completo al correo electrónico, los archivos y el calendario de la cuenta. Microsoft sostiene que la explotación requiere además que la víctima complete un paso de inicio de sesión en Authenticator y asegura que la vulnerabilidad no se ha utilizado en ataques.
La investigación es obra de Ofek Levin, en el marco de un programa de becas de la firma de seguridad Enclave, que publicó los detalles técnicos el 23 de octubre de 2026. Microsoft asignó el CVE el 8 de septiembre y le otorgó una puntuación de 8,6 en la escala CVSS, que clasifica como "Importante".
El papel de Authenticator como intermediario de autenticación
En Android, Authenticator no se limita a mostrar códigos de seis dígitos. También funciona como intermediario: cuando Teams, Outlook u otra aplicación de Microsoft necesita autenticar a un usuario, se lo solicita a Authenticator, que devuelve un token, un pase digital que acredita que el usuario ha iniciado sesión. Dado que este intermediario controla el acceso a toda la cuenta, debería ser cuidadoso a la hora de decidir a qué aplicación concede un token.
El fallo permitía que la aplicación equivocada obtuviera uno. Authenticator expone un componente, una actividad llamada AccountChooserActivity, que cualquier aplicación del dispositivo puede iniciar. Cuando la aplicación del atacante la activaba, Authenticator construía su solicitud de token a partir de valores proporcionados por esa aplicación, incluido el nombre de la aplicación que decía ser. La app afirmaba ser Teams y el intermediario le creía.
Se suponía que una comprobación de firma impediría esto, pero no lo hizo. La verificación consultaba la firma real de la aplicación suplantada y confirmaba que la solicitud coincidía con ella. Como Teams estaba realmente instalado en el dispositivo, su firma auténtica estaba disponible para su lectura y la comprobación se superaba.
Según Enclave, Authenticator también podía ver qué aplicación había realizado realmente la solicitud, pero no utilizaba ese dato para decidir si entregaba un token.
Alcance de los permisos obtenidos
En las pruebas de Enclave, suplantar a Teams y solicitar tokens de Microsoft Graph devolvía permisos para leer y enviar correo, leer y escribir archivos y leer y escribir calendarios, entre otros. Microsoft describe el resultado de forma más general: un atacante que tuviera éxito podría autenticarse como el usuario que había iniciado sesión y acceder a sus recursos. Los tokens se aplican a la cuenta de trabajo con la que se haya iniciado sesión en Authenticator en ese dispositivo, no a otras cuentas.
Discrepancias sobre la interacción del usuario
Las dos partes discrepan en un punto que el lector debe valorar. Enclave informó que su prueba de concepto devolvía tokens sin ninguna interacción del usuario, aparte de la presencia de una cuenta con sesión iniciada. El aviso de Microsoft señala que la explotación requiere instalar una aplicación maliciosa en el dispositivo y convencer al usuario de completar un flujo de autenticación en Authenticator. Su puntuación CVSS también indica que el fallo requiere interacción del usuario.
Microsoft afirma que la vulnerabilidad no se ha explotado y que no se divulgó públicamente antes de la corrección, y califica la probabilidad de explotación como "menos probable". Formó parte del Patch Tuesday de septiembre de 2026 de la compañía y no fue una de las dos fallas de Windows señaladas ese mes como ya atacadas. A 26 de octubre de 2026, la vulnerabilidad no figura en el catálogo de vulnerabilidades explotadas conocidas de la agencia CISA de Estados Unidos.
Recomendaciones
La solución consiste en actualizar Microsoft Authenticator para Android a la versión 6.2606.4246 o posterior, enlazada en el aviso de Microsoft. Las organizaciones que gestionan dispositivos Android pueden exigir esa versión mínima mediante sus herramientas de administración. El aviso de Microsoft ofrece la corrección, pero no indica si la actualización anula algún token que una aplicación maliciosa ya hubiera podido obtener, por lo que esa cuestión sigue sin aclararse con las fuentes disponibles.
Deja una respuesta