How one exported activity in Microsoft Authenticator let an unprivileged app get tokens for any Microsoft service.

How one exported activity in Microsoft Authenticator let an unprivileged app get tokens for any Microsoft service.

Groups Conversations All groups and messages Sign in Technical - Application Security Conversations About Privacy • Terms     AuthMask: We Made Microsoft Authenticator Hand Over Tokens to an App With Zero Permissions 0 views Skip to first unread message Eyal Estrin unread, 10:49 PM (7 minutes ago)    to https://enclave.ai/blog/authmask-we-made-microsoft-authenticator-hand-over-tokens Eyal Estrin Author | Cloud Architect | AWS • Azure • GCP Insights Social: @eyalestrin Connect: https://linktr.ee/eyalestrin Blog: https://security-24-7.com Reply all Reply to author Forward

Security researcher Ofek Levin recently unveiled a severe vulnerability chain named AuthMask. Specifically, this flaw tracked as CVE-2026-80097 allowed malicious Android applications to hijack corporate authentication tokens. Rogue software bypassed security barriers by impersonating legitimate Microsoft applications installed on the same device. Consequently, attackers could exfiltrate sensitive credentials and compromise corporate cloud resources effortlessly. Exploiting Authentication Broker Trust Mechanisms Microsoft Authenticator often functions as an enterprise authentication broker rather than a simple code generator.

How one exported activity in Microsoft Authenticator let an unprivileged app get tokens for any Microsoft service.

Sicherheitsforscher haben im Microsoft Authenticator unter Android eine Schwachstelle namens AuthMask aufgedeckt. Das Problem daran: Eine ...

How one exported activity in Microsoft Authenticator let an unprivileged app get tokens for any Microsoft service.

Enclave reveló cómo una app maliciosa instalada en un teléfono Android podía obtener tokens de una cuenta de trabajo con sesión iniciada en Microsoft Authenticator. Microsoft ya corrigió la falla, que en las pruebas descritas por la firma permitió acceder al correo, los archivos y el calendario del usuario. La investigación, publicada el 23 de octubre de 2026, llama al problema AuthMask. Corresponde a **CVE-2026-80097** , cuyo registro de Microsoft se publicó el 8 de septiembre. La compañía lo clasifica como una vulnerabilidad de elevación local de privilegios de gravedad alta, con una puntuación **CVSS de 8.6 sobre 10**. ## Cómo el fallo podía alcanzar datos de Microsoft 365 Microsoft documenta que Authenticator también actúa como intermediario de autenticación, o broker, para facilitar el inicio de sesión único entre aplicaciones compatibles. Esa función permite usar una sesión existente para acceder a otras apps, sin repetir todo el proceso de identificación. Los tokens de acceso son credenciales que autorizan el acceso a recursos concretos en nombre de un usuario autenticado. Por eso, el alcance de una falla en ese intermediario puede extenderse a información guardada en servicios de trabajo. Según Enclave, Authenticator comprobaba la identidad que la aplicación solicitante decía tener, pero no la vinculaba con la app que realmente hacía la petición. Los investigadores afirmaron que pudieron hacerse pasar por Teams y recibir tokens con permisos para leer y modificar correos, enviar mensajes, acceder a archivos y cambiar calendarios. Esos permisos eran delegados. Como explica Microsoft en su documentación de permisos, permiten actuar en nombre del usuario dentro de los accesos autorizados a la aplicación y a esa persona. ## La versión corregida y las condiciones del ataque El escenario probado requería Authenticator con una cuenta de trabajo iniciada, una aplicación de Microsoft instalada cuya identidad pudiera suplantarse y la app maliciosa ejecutándose en el mismo teléfono. Enclave afirmó que esta última no necesitaba permisos especiales de Android. El informe describe una demostración técnica; no documenta una campaña de ataques ni un número de víctimas. El registro CVE identifica como afectadas las versiones desde la **6.0.0 y anteriores a la 6.2606.4246**. Esta última incorpora la corrección. Microsoft recomienda en su guía de soporte mantener Authenticator en su versión más reciente. La actualización cierra esta vía de suplantación en el componente que conecta las aplicaciones del teléfono con la cuenta de trabajo. _Fuentes:_ 1, 2, 3