Czy można było przejąć konto Microsoft przez błąd w deep linkach?
Czy można było przejąć konto Microsoft przez błąd w deep linkach?
Badacz bezpieczeństwa Khaled Mohamed odkrył poważną podatność w aplikacji Microsoft Authenticator, oznaczoną jako CVE-2026-26123. Problem dotyczył obsługi deep linków, co umożliwiało przejęcie konta Microsoft po zeskanowaniu kodu QR podczas konfiguracji uwierzytelniania dwuetapowego.
W szczególności, atak wymagał, aby na urządzeniu użytkownika była zainstalowana złośliwa aplikacja. Złośliwa aplikacja mogła przejąć obsługę deep linku ms-msa://, co pozwalało na wykrycie i kradzież tokenu uwierzytelniającego. Ten token umożliwiał potwierdzenie logowania bez hasła, co w konsekwencji prowadziło do przejęcia konta.
Aby zminimalizować ryzyko, zdecydowanie zalecamy aktualizację Microsoft Authenticator do najnowszej wersji. Oto kilka kluczowych kroków, które warto podjąć:
- Aktualizuj aplikację do najnowszej wersji.
- Sprawdzaj uprawnienia aplikacji na swoim urządzeniu.
- Unikaj instalacji aplikacji z nieznanych źródeł.
Na podstawie: Źródła
