Microsoft ha corregido una vulnerabilidad de severidad alta (CVE-2026-80097) en Authenticator para Android. Este fallo permitía que aplicaciones maliciosas, incluso sin permisos declarados, pudieran robar tokens de acceso de cuentas de trabajo debido a un error de autenticación en su componente intermediario. El problema afectaba a dispositivos Android que tuvieran la aplicación instalada y una cuenta de trabajo iniciada.

Microsoft ha parcheado el fallo de severidad alta CVE-2026-80097 (CVSS 8.6) en Authenticator para Android, que permitía a aplicaciones maliciosas sin permisos declarados robar tokens de acceso de cuentas de trabajo debido a una autenticación incorrecta en su componente intermediario (broker).

Microsoft clasificó el fallo como una vulnerabilidad de elevación de privilegios local. El problema afectaba a los dispositivos Android que tenían instalado Microsoft Authenticator y una cuenta de trabajo iniciada.

Investigadores de Enclave descubrieron que una aplicación no confiable podía fingir ser una aplicación de Microsoft confiable, como Microsoft Teams, y pedir a Authenticator que emitiera tokens delegados para esa identidad.

La solicitud no requería la aprobación del usuario, credenciales de la cuenta ni permisos de Android más allá de estar instalada en el dispositivo. El centro del error era una actividad de Android exportada llamada com.microsoft.identity.client.AccountChooserActivity.

Otras aplicaciones pueden iniciar actividades exportadas en el mismo dispositivo. En este caso, la actividad aceptaba una solicitud de broker de la aplicación que realizaba la llamada y devolvía el resultado de la autenticación después de procesarlo.

El problema clave era cómo Authenticator verificaba la aplicación solicitante. La solicitud del broker incluía el nombre del paquete de la aplicación reclamada, el ID del cliente, la URI de redireccionamiento, los alcances solicitados e incluso un valor UID del llamador.

Fallo de Microsoft Authenticator

Investigadores de Enclave informaron que la aplicación maliciosa podía suministrar estos campos en lugar de que estuvieran vinculados a la aplicación que realmente lanzaba la solicitud.

Authenticator sí realizaba una validación de la URI de redireccionamiento relacionada con la firma. Sin embargo, la comprobación se centraba en la identidad de la aplicación reclamada en la solicitud.

Si el atacante afirmaba ser Teams, la lógica vulnerable comprobaba si la URI de redireccionamiento coincidía con el paquete real de Teams instalado. Debido a que Teams estaba instalado legítimamente, el atacante podía construir una URI de redireccionamiento válida a partir de su firma de paquete pública y pasar la comprobación.

En resumen, la aplicación verificaba si la identidad reclamada parecía válida, pero no confirmaba que el llamador real fuera la aplicación que decía ser. Según la investigación, la actividad vulnerable podía identificar el paquete que la lanzó; sin embargo, no utilizaba esa información para controlar la confianza.

Las solicitudes exitosas devolvían datos de tokens a través del paquete de resultados de la actividad. Los tokens podían incluir tokens de acceso, tokens de actualización, tokens de ID e información del cliente.

Dependiendo del cliente de Microsoft suplantado y los permisos solicitados, el impacto podría extenderse a los recursos de Microsoft Graph, como buzones de correo, calendarios, archivos de OneDrive, contenido de SharePoint y servicios relacionados con Teams.

Los investigadores demostraron el riesgo suplantando múltiples aplicaciones de Microsoft. Una identidad de Teams que solicitara acceso a Microsoft Graph podría recibir permisos delegados que le permitieran leer y escribir correos, enviar mensajes, acceder a archivos y modificar calendarios. Este fallo es especialmente importante para las organizaciones que utilizan dispositivos Android para acceder a las cargas de trabajo de Microsoft 365.

Microsoft solucionó el problema en Microsoft Authenticator para Android en la versión 6.2606.4246, lanzada en julio de 2026. Tú y cualquier usuario individual o organización deberíais actualizar la aplicación a través de Google Play lo antes posible y verificar que los dispositivos gestionados ejecuten una versión actual.

El aviso de Microsoft describe el problema como una autenticación incorrecta que podría permitir a un atacante local no autorizado elevar sus privilegios.

El fallo también resalta por qué los brokers de identidad móvil deben validar la aplicación llamadora real, incluyendo su identidad de paquete, UID y certificado de firma, en lugar de confiar en valores controlados por la aplicación en un "intent".

El incidente pone de relieve los esfuerzos continuos de Microsoft para proteger las credenciales de Entra en dispositivos Android con root y iOS con jailbreak, donde el malware y los controles de seguridad debilitados aumentan los riesgos de identidad empresarial.

Tú y tu organización deberíais revisar los controles de aplicaciones móviles, aplicar actualizaciones oportunas a través de plataformas MDM o EMM y restringir las aplicaciones instaladas mediante sideloading siempre que sea posible.

Los equipos de seguridad también deberían monitorizar actividad inusual en Microsoft Graph, comportamientos de consentimiento inesperados y el uso de tokens desde dispositivos Android desconocidos. Deberías utilizar el aviso oficial de Microsoft CVE-2026-80097 para obtener orientación sobre la remediación continua.