Greață critică în Microsoft Authenticator pe Android

Cum funcționa exploatarea?

O greață critică în Microsoft Authenticator permitea aplicațiilor malițioase să fure token-uri de sesiune fără interacțiunea utilizatorului.

Problema venea din modul în care aplicația gestiona token-urile de sesiune.

În loc să restricționeze emiterea lor doar pentru aplicații verificate, software-ul le acorda prea liber. O aplicație războinică putea cere un token și se autentifica ca serviciu legitim Microsoft. Utilizatorii nu trebuiau să apasă „permite” sau să introducă un PIN ca exploatarea să funcționeze.

Lipsa interacțiunii făcea atacul periculos și greu de detectat.

Aplicații malițioase se prefac servicii încredințate!

Vectorul atacului se baza pe mecanismele de verificare a aplicațiilor din Android.

O aplicație malițioasă putea imita comportamentul aplicațiilor oficiale Microsoft. Odată ce aplicația falsă obținea un token de sesiune valid, putea acționa ca client încredințat. Asta permitea atacatorilor să ocolească verificările standard de autentificare și să acceseze date sensibile în ecosistemul Microsoft.

Greaca a fost clasificată ca critică pentru că nu cerea acces fizic la dispozitiv.

Microsoft a confirmat corectarea într-o actualizare recentă. Patch-ul strânge regulile de emitere a token-urilor ca să prevină aplicațiile neautorizate să obțină credențiale valide.

Ce înseamnă asta pentru datele tale?

Utilizatorii ar trebui să verifice magazinul de aplicații pentru ultima versiune. Compania a subliniat că greaca nu exista pe iOS sau pe versiunile desktop. Utilizatorii Android sunt grupul principal afectat.

Această greață afectează utilizatorii iOS sau desktop? Nu, vulnerabilitatea era specifică versiunii Android a aplicației.

Clienții desktop și iOS nu au fost afectați de această greață de emitere a token-urilor.

Întrebări frecvente!

Trebuie să resetez parolele după exploatare?

Nu neapărat, pentru că atacul a furat token-uri de sesiune, nu parole. Totuși, dacă suspectezi că contul tău a fost accesat, schimbarea parolei e o precauție sigură.

Cât de repede trebuie să actualizez aplicația?

Imediat. Microsoft îndeamnă toți utilizatorii Android să instaleze ultima actualizare ca să închidă breșa. Corectarea e disponibilă prin Google Play Store.