Enclave의 보안 연구원 오펙 레빈(Ofek Levin)은 Android용 Microsoft Authenticator의 취약점으로 권한이 없는 앱이 사용자의 업무 계정 토큰을 받을 수 있었다고 밝혔다. Microsoft는 CVE-2026-80097로 추적되는 문제를 수정했으며, 6.2606.4246 이전 버전이 영향을 받는다.
연구진은 인증기가 설치돼 있고 업무 계정이 로그인된 기기에서 공격을 시험했다. 앱이 권한을 갖지 않아도 인증기의 내보내기(export)된 AccountChooserActivity를 실행할 수 있었다. 인증기는 요청자가 제시한 앱 이름과 패키지명 등을 신뢰해 토큰 요청을 처리했지만, 실제 호출 앱의 신원을 확인하는 데는 이를 사용하지 않았다. 대신 요청에 적힌 패키지의 서명으로 리디렉션 URI를 검증했고, 해당 앱이 기기에 설치돼 있으면 검증이 통과할 수 있었다.
시험에서 받은 토큰에는 메일, 파일, 일정에 대한 위임 접근 권한이 포함됐다. 토큰은 앱이 읽을 수 있는 일반 텍스트로 반환됐다. 연구진은 Teams와 Teams 채팅 백엔드, 인증기 자체를 사칭해 각기 다른 권한 범위의 토큰을 얻었다고 설명했다. 이 과정에서 별도의 사용자 조작은 필요하지 않았고, 인증기에 업무 계정이 로그인돼 있어야 했다.
Microsoft는 취약점을 확인하고 수정했으며 2026년 9월 8일 CVE-2026-80097을 공개했다. Android에서 Microsoft Authenticator를 사용하는 이용자는 앱을 업데이트해야 한다. 취약점 정보와 영향 버전은 Microsoft 보안 업데이트 안내에서 확인할 수 있다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요