Une faille critique de Microsoft Authenticator pourrait permettre à une application Android malveillante de dérober les jetons d’authentification d’un compte professionnel, exposant potentiellement des e-mails, des fichiers d’entreprise et d’autres informations sensibles.
La vulnérabilité, référencée sous le numéro CVE-2026-80097, affiche un score CVSS de 8,6 et touche les versions Android de Microsoft Authenticator antérieures à la 6.2606.4246. Des chercheurs en sécurité ont montré comment une application Android malveillante pouvait se faire passer pour une application Microsoft installée et obtenir les jetons d’authentification associés à un compte professionnel connecté.
Microsoft a déjà corrigé la faille, mais les appareils Android exécutant des versions obsolètes pourraient rester vulnérables. Ces travaux montrent comment des attaquants pourraient exploiter des faiblesses dans les logiciels d’authentification pour accéder aux ressources d’entreprise, même lorsque l’authentification multifacteur (MFA) est activée.
- La faille de Microsoft Authenticator expose les jetons des comptes professionnels
- Comment la vulnérabilité pourrait exposer les comptes Microsoft 365
- Quels appareils Android sont concernés ?
- Ce que les utilisateurs de Microsoft Authenticator doivent faire maintenant
- Pourquoi cette faille est importante pour la sécurité des entreprises
La faille de Microsoft Authenticator expose les jetons des comptes professionnels
Le chercheur en sécurité Ofek Levin a détaillé la vulnérabilité dans un rapport de recherche d’ Enclave publié le 23 octobre.
Baptisée AuthMask, l’attaque exploitait une faiblesse du courtier d’identité de Microsoft Authenticator, qui traite les demandes d’authentification provenant d’autres applications. Les chercheurs ont découvert qu’une application Android ne déclarant aucune autorisation pouvait se faire passer pour une application Microsoft installée, comme Teams, et demander les jetons d’authentification associés à un compte professionnel connecté.
La vulnérabilité résultait d’une authentification incorrecte de l’application à l’origine de la demande. Au lieu de vérifier de manière fiable quelle application avait initié la demande, Authenticator faisait confiance aux informations d’identité fournies dans la demande elle-même. Une application non fiable pouvait ainsi se présenter comme un service Microsoft légitime.
Selon Enclave, l’exploitation réussie lors de ses tests nécessitait un appareil Android sur lequel Microsoft Authenticator était installé et un compte professionnel connecté. Les chercheurs ont indiqué avoir obtenu les jetons sans interaction supplémentaire de l’utilisateur.
L’évaluation CVSS publiée par Microsoft indique toutefois qu’une interaction de l’utilisateur est nécessaire. La documentation disponible n’explique pas la différence entre l’évaluation de Microsoft et les conclusions d’Enclave.
La vulnérabilité, documentée dans l’ avis de sécurité de Microsoft, affiche un score CVSS de 8,6 et est classée CWE-287, authentification incorrecte.
Comment la vulnérabilité pourrait exposer les comptes Microsoft 365
L’attaque ciblait une activité Android exportée appelée com.microsoft.identity.client.AccountChooserActivity.
Les applications Android peuvent exposer des activités que d’autres applications sont autorisées à lancer. Dans ce cas, l’activité concernée traitait des demandes d’authentification contenant des informations sur l’application prétendument à l’origine de l’appel.
Les chercheurs ont constaté que plusieurs champs d’identité importants pouvaient être contrôlés par l’application à l’origine de la demande, notamment le nom de package revendiqué, l’identifiant client, l’URI de redirection et l’identifiant de l’utilisateur.
Bien qu’Authenticator effectuât une vérification liée à la signature, celle-ci reposait sur l’identité de l’application revendiquée dans la demande.
Lors des tests des chercheurs, une application malveillante s’est fait passer pour une application Microsoft installée et a franchi la vérification, car Authenticator vérifiait l’identité revendiquée de l’application plutôt que celle de l’appelant réel.
Une fois la demande acceptée, Authenticator pouvait renvoyer les informations d’authentification à l’application malveillante.
Les chercheurs ont démontré que les données renvoyées pouvaient inclure :
- Jetons d’accès : Identifiants autorisant l’accès à certains services et ressources.
- Jetons d’actualisation : Identifiants pouvant permettre aux applications d’obtenir d’autres jetons d’accès.
- Jetons d’ID : Informations d’authentification identifiant l’utilisateur connecté.
- Informations client : Détails associés au compte et à l’application authentifiés.
Les conséquences potentielles dépassaient le cadre de Microsoft Authenticator lui-même.
En se faisant passer pour Microsoft Teams, les chercheurs ont obtenu des autorisations déléguées associées à Microsoft Graph, l’API utilisée pour accéder aux services Microsoft 365.
Ces autorisations comprenaient Mail.ReadWrite, Mail.Send, Files.ReadWrite.All, Calendars.ReadWrite, ChatMessage.Send et Sites.ReadWrite.All.
Ces autorisations pouvaient permettre d’accéder aux e-mails, aux fichiers et aux calendriers, ainsi qu’à certaines opérations Teams et SharePoint associées au compte professionnel concerné, selon les autorisations accordées et les contrôles d’accès applicables.
Les chercheurs ont également obtenu des autorisations de gestion de l’authentification, notamment UserAuthenticationMethod.ReadWrite, Passkey.Create et Passkey.Delete, en se faisant passer pour le propre client de Microsoft Authenticator.
Ces autorisations augmentent le risque de modifications non autorisées des méthodes d’authentification. Toutefois, les travaux publiés ne démontrent pas que les chercheurs ont effectivement créé ou supprimé des clés d’accès, ni établi un accès persistant au compte.
Point important, les jetons volés donneraient accès aux ressources associées au compte professionnel concerné, dans la limite des autorisations disponibles pour l’application usurpée. L’attaque n’exposerait pas automatiquement tous les comptes Microsoft associés au propriétaire de l’appareil.
Ces résultats montrent comment une faiblesse d’un courtier d’authentification mobile pourrait exposer des ressources d’entreprise sensibles, même lorsque les utilisateurs ont activé la MFA.
Quels appareils Android sont concernés ?
La vulnérabilité touche les versions Android de Microsoft Authenticator de 6.0.0 inclus à 6.2606.4246 exclus.
Microsoft a publié son avis de sécurité le 8 sept. 2026 et a diffusé un correctif pour la vulnérabilité. Enclave a ensuite révélé les détails techniques de l’attaque AuthMask le 23 oct.
Voici un résumé de l’environnement concerné et des informations relatives à la remédiation.
Détail | Informations |
|---|---|
| Vulnérabilité | CVE-2026-80097 |
| Produit concerné | Microsoft Authenticator pour Android |
| Score CVSS | 8,6 (élevé) |
| Type de vulnérabilité | CWE-287, authentification incorrecte |
| Versions concernées | 6.0.0 inclus à 6.2606.4246 exclus |
| Version corrigée | 6.2606.4246 |
| Condition d’attaque | Application malveillante installée et exécutée sur un appareil Android concerné ; Microsoft et Enclave divergent sur la nécessité d’une interaction supplémentaire de l’utilisateur |
| Remédiation | Mettre à jour Microsoft Authenticator |
L’attaque nécessite qu’une application malveillante soit installée et exécutée sur l’appareil Android concerné. Elle ne permet pas aux attaquants de voler des jetons à distance sans avoir d’abord établi ce point d’ancrage.
Cependant, l’absence d’exigence concernant les autorisations Android est importante.
Les applications demandent généralement l’accès à des fonctionnalités sensibles de l’appareil, ce qui peut donner aux utilisateurs et aux administrateurs la possibilité d’identifier un comportement suspect. Dans ce cas, les chercheurs ont démontré qu’une application malveillante pouvait exploiter une vulnérabilité du processus d’authentification sans demander ces autorisations.
La faille de Microsoft Authenticator a-t-elle été exploitée ?
Enclave a démontré que CVE-2026-80097 pouvait être exploitée dans des conditions de test contrôlées. Toutefois, ses travaux publiés n’identifient aucune attaque confirmée dans le monde réel.
Cela ne permet pas d’établir qu’elle n’a jamais été exploitée. Les organisations utilisant des versions vulnérables devraient malgré tout donner la priorité à la mise à jour de Microsoft Authenticator.
Ce que les utilisateurs de Microsoft Authenticator doivent faire maintenant
Bien que Microsoft ait corrigé CVE-2026-80097, les organisations devraient vérifier que les employés utilisant des appareils Android ont installé une version corrigée.
Les appareils n’ayant pas reçu la mise à jour pourraient rester vulnérables, en particulier dans les environnements où les employés accèdent à Microsoft 365 depuis des smartphones personnels ou gérés de manière incohérente.
Les équipes de sécurité devraient donner la priorité aux actions suivantes :
- Mettre à jour Microsoft Authenticator. Installez la dernière version disponible via Google Play et vérifiez que la version installée est la 6.2606.4246 ou une version ultérieure.
- Auditer les appareils Android gérés. Utilisez des outils de gestion des appareils mobiles pour repérer les installations obsolètes et vérifier que les mises à jour de sécurité ont été déployées.
- Vérifier les politiques d’installation des applications. Limitez les sources d’applications non fiables lorsque cela est nécessaire et recherchez les applications suspectes installées sur les appareils d’entreprise.
- Surveiller l’activité Microsoft 365. Examinez les journaux de connexion Microsoft Entra, l’activité pertinente de Microsoft Graph et les modifications inattendues des méthodes d’authentification afin de détecter tout signe d’accès suspect au compte.
- Enquêter sur toute compromission suspectée. En présence d’indices de vol de jetons, suivez les procédures de réponse aux incidents de l’organisation, notamment la révocation appropriée des sessions ou des jetons, l’examen de la méthode d’authentification et la remédiation de l’appareil.
- Renforcer les contrôles d’accès mobile. Envisagez des exigences de conformité des appareils et des stratégies d’accès conditionnel afin de réduire l’exposition liée aux terminaux non gérés ou compromis.
Les organisations doivent également comprendre que l’installation de la mise à jour corrige la vulnérabilité, mais n’invalide pas nécessairement les jetons d’authentification qui auraient pu être volés avant la remédiation.
Lorsqu’une compromission est suspectée, les équipes de sécurité doivent enquêter sur les sessions et les identifiants potentiellement exposés au lieu de compter exclusivement sur la mise à jour de l’application.
Pourquoi cette faille est importante pour la sécurité des entreprises
CVE-2026-80097 illustre un risque plus large concernant les applications qui gèrent l’authentification pour le compte d’autres logiciels.
Microsoft Authenticator est conçu pour aider les organisations à protéger leurs comptes, mais son rôle de courtier d’authentification en fait également un composant sensible de l’infrastructure d’identité de l’entreprise. Lorsqu’un courtier d’authentification ne vérifie pas l’identité d’une application qui demande des identifiants, un attaquant peut exploiter un processus d’authentification par ailleurs légitime.
Les travaux sur AuthMask montrent comment cette faiblesse pourrait exposer des ressources d’entreprise sans qu’un employé ait à divulguer un mot de passe. Un logiciel malveillant présent sur un appareil Android concerné pourrait menacer un compte professionnel authentifié en obtenant des jetons par l’intermédiaire du processus d’authentification vulnérable.
Pour les administrateurs de sécurité, la priorité immédiate est de vérifier que les appareils Android concernés sont à jour et d’enquêter sur tout signe d’activité suspecte du compte. La leçon plus générale est que la MFA reste un contrôle de sécurité important, mais que la protection des applications et des appareils qui gèrent les jetons d’authentification est tout aussi essentielle.
Les organisations qui négligent les mises à jour des applications mobiles pourraient laisser des ressources Microsoft 365 sensibles exposées, même lorsque les employés respectent les pratiques de sécurité des comptes établies.
Pour en savoir plus sur la manière dont les attaquants peuvent compromettre des comptes Microsoft 365 malgré les protections de la MFA, lisez notre article consacré à BigBear 2.0, qui a dérobé des sessions authentifiées dans 258 organisations.