الملخص:
أصدرت باحثة الأمن السيبراني Aoife Craven مؤخرًا تقريرًا يكشف عن سلسلة هجوم AuthMask: يمكن لتطبيقات Android الضارة استخدام وكيل المصادقة الخاص بـ Microsoft Authenticator لانتحال صفة تطبيقات Microsoft المثبتة للحصول على الرموز المميزة للحساب. تم ترقيم الثغرة الأمنية CVE-2026-80097. وقد أبلغ الباحثون الأمنيون شركة Microsoft مسبقًا لإصلاحها، وأصدرت Microsoft تحديثًا لإصلاح الثغرة الأمنية في سبتمبر.
يمكن استخدام Microsoft Authenticator فقط كمصدق TOTP، الذي يقوم بإنشاء رمز تحقق ديناميكي مكون من 6 أرقام. ومع ذلك، يوفر Microsoft Authenticator أيضًا خدمات وكيل المصادقة لتطبيقات Microsoft، أي أنه يمكن للمستخدمين تسجيل الدخول إلى حسابات الشركة للحصول على موارد Microsoft 365 بعد تأكيدها بواسطة المصادق.
تكمن المشكلة في المكونات التي تفتحها Microsoft لتطبيقات أخرى للاتصال بها. لقد وجدت الأبحاث أن تطبيق الاتصال يمكنه ملء اسم التطبيق واسم الحزمة ومعرف العميل وعنوان إعادة التوجيه في الطلب. يتحقق المصادق من عنوان إعادة التوجيه مقابل هوية التطبيق التي يطالب بها الطلب، لكنه لا يكمل تحديد التفويض باستخدام هوية التطبيق الذي أجرى المكالمة بالفعل.
على سبيل المثال، يمكن لأحد التطبيقات الضارة أن يدعي أنه Microsoft Teams المثبت بالفعل على الجهاز. نظرًا لوجود التوقيع وعنوان إعادة التوجيه للتطبيق على الجهاز، سيقبل Microsoft Authenticator هذا التنكر ويعيد في النهاية الرمز المميز الحقيقي إلى التطبيق الذي بدأ الطلب بالفعل.
اختبر الباحثون الأمنيون العديد من أشكال إخفاء هوية التطبيقات، مع أخذ Microsoft Teams كمثال. وبعد التنكر، حصلوا على أذونات مفوضة من Microsoft Graph، بما في ذلك قراءة رسائل البريد الإلكتروني وإرسالها، والوصول إلى الملفات، وتعديل التقويمات، وإرسال رسائل Microsoft Teams، وتشغيل محتوى SharePoint. يمكن لرموز الوصول أيضًا الوصول مباشرة إلى الموارد المقابلة، ويمكن أيضًا استبدال الرموز المميزة للتحديث برموز وصول جديدة خلال فترة الصلاحية.
وفقًا للبحث، يمكن للمهاجمين الذين يستغلون الخلل أيضًا إدارة طرق مصادقة المستخدمين، وإنشاء مفاتيح المرور وحذفها، مما يجعل المخاطر لا تتعلق فقط بقراءة البيانات، ولكن قد تشمل أيضًا إعدادات أمان تسجيل الدخول للحساب نفسه.
بعد اكتشاف الثغرة الأمنية، قام الباحثون بإبلاغ Microsoft بها بشكل مسؤول. أهم الأجهزة المتضررة هي إصدار Android من Microsoft Authenticator 6.0.0~6.2606.4246. أصدرت Microsoft الإصدار 6.2606.4246 في 8 سبتمبر لإصلاح المشكلة.
ولمنع بعض المستخدمين من عدم الترقية إلى الإصدار الجديد لفترة طويلة، لم ينشر الباحثون تفاصيل الثغرة الأمنية بعد إصلاح الثغرة. والآن، مر 50 يومًا قبل أن يعلن الباحثون عن الثغرة الأمنية. ومن المتوقع أن يستخدم المهاجمون العيوب ذات الصلة للعثور على فرص للهجوم.
التعليقات