网络安全研究员 Ofek Levin 于上周发布报告，披露了一条名为 AuthMask 的攻击链，可让微软身份验证器（Microsoft Authenticator）将账户令牌交给一个没有任何权限的安卓应用。该漏洞编号为 CVE-2026-80097，微软已确认并在安卓版应用中完成修复，6.2606.4246 之前的版本均受影响。
根据报告披露的技术细节，问题出在身份验证器暴露的一个名为 com.microsoft.identity.client.AccountChooserActivity 的活动组件上。该组件运行于 :auth 进程中，并被标记为 android:exported=”true”，意味着设备上任意应用都可以启动它。攻击者据此构造的路径是：一个无权限的安卓应用冒充设备上已安装的微软第一方应用，诱导身份验证器将令牌交付给它。
令牌一旦泄露，影响范围并不限于单一应用登录。报告指出，该令牌提供完整的委托邮箱、文件和日历访问权限，等同于在未获用户授权的情况下取得微软账户核心数据的读取通道。对于将微软 365 作为主要办公与协作环境的企业用户而言，这类令牌泄露的风险不仅涉及个人信息，还可能波及企业邮件往来与文档资产。
Ofek Levin 团队已将问题上报微软安全响应中心。微软确认了漏洞存在，并在 Microsoft Authenticator for Android 中完成修复。从披露节奏看，研究团队在报告发布前已与厂商完成协调，属于常规的负责任披露流程。
此次漏洞的成因具有典型性。android:exported 属性用于控制应用组件是否允许其他应用调用，将其设为 true 意味着组件对外可见。身份验证器作为账户凭证的集中管理入口，其对外暴露的组件本应受到更严格的调用方校验，例如验证调用来源的签名或包名。AuthMask 攻击链恰恰绕过了这一层校验，说明在多应用协同的账户体系中，组件级权限边界与实际信任判断之间存在落差。
对安卓生态而言，身份验证器类应用长期处于安全敏感位置。此类应用同时承担多因素认证、密码管理与无密码登录等职能，一旦令牌交付环节被滥用，攻击者无需破解密码即可获得账户访问能力。这也使得身份验证器成为移动端攻击研究的高频目标，组件暴露、深层链接劫持与进程间通信校验不足是其中较常见的缺陷类型。
对企业 IT 管理者来说，此次事件的处理动作相对明确：核查内部安卓设备上 Microsoft Authenticator 的版本，将低于 6.2606.4246 的安装升级至最新版本。对于采用移动设备管理（MDM）或移动应用管理（MAM）策略的组织，可通过策略下发强制更新，并将身份验证器纳入版本合规检查清单。考虑到令牌泄露的后果涉及邮箱与文件访问，对已确认处于受影响版本区间的设备，评估是否需要触发会话吊销与重新认证也具备现实意义。
从行业视角看，身份验证器正从单一的二步验证工具演变为企业身份体系的关键节点，其安全边界直接关系到零信任架构的落地质量。此次漏洞虽已修复，但围绕组件暴露与调用方校验的攻防仍将持续，身份类应用在发布流程中引入更严格的组件可见性审计，或成为移动安全实践的常规要求。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
