Microsoft Authenticator : la faille AuthMask offrait un accès à votre compte Microsoft 365

Une application Android installée sur votre smartphone, sans la moindre permission, qui se fait passer pour Teams et repart avec les jetons de votre compte professionnel. C'est le scénario qu'ont démontré des chercheurs sur Microsoft Authenticator. La faille est désormais corrigée. Voici l'essentiel à savoir.

Sur Android, Microsoft Authenticator ne se contente pas d'afficher des codes à six chiffres. L'application joue aussi le rôle de "broker" d'authentification : quand Teams, Outlook ou une autre application Microsoft a besoin de connecter l'utilisateur, elle s'adresse à Authenticator, qui lui renvoie un jeton. Ce jeton est un laissez-passer numérique qui prouve que l'utilisateur est bien connecté. Puisque le broker contrôle l'accès à l'ensemble du compte, il a tout intérêt à vérifier soigneusement à quelle application il remet un jeton.

Et pourtant, une faille de sécurité a été identifiée dans ce mécanisme. C'est ce qui a donné lieu à la vulnérabilité associée à la référence CVE-2026-80097. Elle permettait à une application malveillante de se faire passer pour une application Microsoft de confiance et d'obtenir à sa place un jeton d'accès au compte professionnel connecté sur l'appareil. Microsoft l’a corrigée dans Microsoft Authenticator pour Android en version 6.2606.4246, un correctif rattaché au Patch Tuesday du 8 septembre 2026. Donc, si vous mettez à jour vos applications Android régulièrement (c'est peut-être même automatique), vous êtes déjà protégé.

Si cette faille fait parler d'elle maintenant, c'est parce qu'elle a été dévoilée en détail dans un rapport signé Ofek Levin, le chercheur de chez Enclave à l'origine de cette découverte. De son côté, Microsoft estime que cette faille de sécurité surnommée AuthMask est importante, avec à la clé un score CVSS de 8,6 sur 10.

Une faille dans la conception d'Authenticator

Sur Android, une application peut rendre certains de ses écrans accessibles aux autres applications du téléphone, pour qu'elles puissent les ouvrir directement. Microsoft Authenticator avait justement ouvert de cette manière l'écran de sélection de compte, techniquement une "activité" nommée AccountChooserActivity. Résultat : n'importe quelle application présente sur l'appareil pouvait la lancer, sans aucune permission particulière.

Une fois cette activité démarrée, Authenticator construisait sa demande de jeton à partir des valeurs fournies par l'application appelante. Et parmi ces valeurs : le nom de l'application. Si l'application prétend être Teams, alors la fonction de broker la croyait "sur parole". Une erreur surprenante.

Un contrôle de signature était pourtant censé bloquer ce genre d'usurpation, sauf qu'il se contrôlait lui-même. Le mécanisme récupérait la signature de l'application usurpée, reconstruisait l'URI de redirection que cette application est censée utiliser, puis la comparait à celle envoyée dans la requête. En pratique, comme Teams était réellement installé sur l'appareil, sa vraie signature était là, lisible par tout le monde. L'application malveillante n'avait qu'à la lire via le PackageManager, reconstruire la même URI et la glisser dans sa requête. Ainsi, la requête usurpait l'identité de l'application Microsoft Teams.

Là où ça ne va pas, c'est qu'Authenticator savait parfaitement quelle application l'appelait réellement : il aurait donc dû se rendre compte que ce n'était pas vraiment Teams, et ne pas émettre le jeton. Autrement dit, Microsoft Authenticator faisait confiance à ce que l'appelant prétendait être plutôt qu'au nom du vrai appelant.

Accès complet à la boîte mail Microsoft 365

Dans les tests effectués par Enclave, l'usurpation de Teams assortie d'une demande de jetons Microsoft Graph a renvoyé un ensemble d'autorisations. Il y avait notamment les permissions suviantes :

• Lecture et envoi de courrier,

• Lecture et écriture de fichiers,

• Lecture et écriture sur les calendriers

Autrement dit, la faille AuthMask permet d'obtenir un accès délégué complet à la messagerie, aux fichiers et à l'agenda du compte professionnel connecté. Les jetons (jeton d'accès, jeton d'actualisation et jeton d'identité) revenaient en clair, prêts à être exploités par l'application appelante. Le rapport du chercheur laisse aussi entendre qu'il était possible de créer et de supprimer des passkeys.

Il y a tout de même un point où Enclave et Microsoft ne sont pas vraiment d'accord. De son côté, Enclave affirme que son PoC récupérait les jetons sans aucune interaction de l'utilisateur, hormis la présence d'un compte déjà connecté. Microsoft, de son côté, indique dans son bulletin que l'exploitation suppose d'installer une application malveillante sur l'appareil et de convaincre l'utilisateur de valider une étape d'authentification dans Authenticator.

"Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait potentiellement être en mesure de s'authentifier auprès d'un hôte distant en utilisant les identifiants de l'utilisateur actuel.", indique Microsoft.

Pour vous protéger, la marche à suivre est simple : mettre à jour Microsoft Authenticator pour Android en version 6.2606.4246 ou supérieure.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.