Microsoft korjasi Authenticator-sovelluksesta vakavan haavoittuvuuden, päivitä sovellus heti
Haitallinen Android-sovellus pystyi esiintymään Teamsina ja saamaan käyttäjän kirjautumistunnisteet ilman lupia, mikä avasi tien tilin kaappaamiseen.
Tiivistelmä
Microsoftin Authenticator-sovelluksen Android-versiossa oli vakava haavoittuvuus, jonka avulla asennettu haittaohjelma pystyi esiintymään luotettuna sovelluksena ja varastamaan käyttäjän OAuth-tunnisteet. Microsoft korjasi puutteen syyskuussa, mutta yksityiskohdat tulivat julkisuuteen vasta lokakuun lopulla. Käyttäjien kannattaa varmistaa, että sovellus on päivittynyt.
Microsoft korjasi Authenticator-sovelluksen Android-versiosta vakavan haavoittuvuuden syyskuun alussa, mutta sen yksityiskohdat tulivat julki vasta lokakuun lopulla. Puutteelle on annettu tunniste CVE-2026-80097, ja sen vakavuuspisteet ovat 8,6 kymmenestä.
Haavoittuvuuden löysi tietoturvayhtiö Enclave, joka julkaisi tekniikan kuvaavan kirjoituksensa 23. lokakuuta. Laajempi uutisointi aiheesta levisi vasta 27. lokakuuta – kuuden viikon viive korjauksen ja julkisuuden välillä on itsessään huomionarvoinen.
Miten tunnisteiden varastaminen onnistui
Authenticator käytti Android-käyttöjärjestelmässä toimintoa, jonka pystyi käynnistämään mikä tahansa laitteeseen asennettu sovellus ilman erillisiä käyttöoikeuksia.
Ongelma syntyi siitä, miten Authenticator tunnisti, mikä sovellus pääsyä pyysi.
Sovellus pystyi väittämään olevansa esimerkiksi Microsoft Teams antamalla oman, itse valitsemansa osoitteen niin kutsutuksi redirect-URI:ksi. Authenticator tarkisti väitteen vain tietoa vasten, jonka hyökkääjän oma sovellus itse toimitti.
Tarkistus läpäisi siis aina.
Authenticator toimii niin kutsuttuna broker-sovelluksena, jonka tehtävä on välittää kirjautumistunnisteita muille Microsoftin sovelluksille samalla Android-laitteella. Yhden sovelluksen haavoittuvuus vaikutti siis periaatteessa kaikkiin sovelluksiin, jotka luottavat siihen tunnistamisessa.
Ofek Levin, Enclaven tietoturvatutkija, havaitsi puutteen ja kuvasi sen yhtiön julkaisemassa teknisessä raportissa nimellä AuthMask. Levin osoitti, että haittaohjelma pystyi saamaan uhrin kirjautumistunnisteet täysin huomaamatta, vaikka sovelluksella ei ollut yhtäkään Android-käyttöoikeutta myönnettynä.
OAuth-tunnisteen (tokenin) varastaminen
Sovellukset tunnistavat toisensa yleensä OAuth-tunnisteella (token), jonka pitäisi todistaa kuka kysyy pääsyä mihin. Haavoittuvuudessa Authenticator luotti sovelluksen omaan väitteeseen siitä, mikä se on, tarkistamatta asiaa riippumattomasti. Haittaohjelma pystyi siis esiintymään luotettuna sovelluksena ja saamaan käyttäjän kirjautumistunnisteen ilman erillisiä käyttöoikeuksia.
Onnistuneen hyökkäyksen jälkeen varastetut tunnisteet olisivat avanneet pääsyn uhrin Microsoft-tiliin kytkettyihin palveluihin varsin laajasti, sillä paljastuneet oikeudet kattoivat sähköpostin lukemisen ja lähettämisen, OneDrive-tiedostojen muokkaamisen sekä kalenterimerkintöjen hallinnan.
Ei etähyökkäys
Haavoittuvuus ei mahdollistanut etähyökkäystä.
Se edellytti kahta ehtoa ennakolta. Uhrin piti ensin asentaa haitallinen sovellus laitteelleen, ja hänellä piti olla Authenticatorissa jo kirjautuneena työpaikan Microsoft-tili. Käyttäjän ei tarvinnut hyväksyä mitään erikseen, vaan hyökkäys toimi näiden kahden ehdon täyttyessä taustalla.
Help Net Security kertoo Microsoftin arvioineen hyväksikäytön olevan epätodennäköistä: yhtiöllä ei ole tietoa yhdestäkään tapauksesta, jossa puutetta olisi käytetty hyväksi tai julkistettu ennen syyskuun korjausta, ja sama tieto toistuu kaikissa aihetta käsitelleissä lähteissä.
Aktiivista hyväksikäyttöä ei ole vahvistettu missään vaiheessa.
Haavoittuvuus koski vain Android-versiota.
Yksikään löydetyistä lähteistä ei mainitse iOS-sovelluksen olleen vaarassa.
Authenticator on laajassa käytössä myös Suomessa, erityisesti työpaikoilla, joissa Microsoft 365 on käytössä yrityksen sähköpostin ja tiedostojen hallintaan. Kyberturvallisuuskeskus ei ole julkaissut tästä haavoittuvuudesta omaa tiedotetta.
Tapaus eroaa lokakuun puolivälin AiTM-hyökkäyksistä kertoneesta uutisoinnista, jossa varastettiin istuntoevästeitä kaksivaiheisen tunnistautumisen ohittamiseksi. Tässä tapauksessa kohteena olivat sovellusten väliset OAuth-tunnisteet, ei selaimen istunto.
Mitä tehdä
Korjaus on jo sovelluskaupoissa, joten toimenpide on yksinkertainen. Avaa Google Play -kauppa ja varmista, että Microsoft Authenticator on vähintään versiossa 6.2606.4246.
Jos sovellus on päivittynyt automaattisesti, erillisiä toimia ei tarvita. Varmuuden vuoksi version voi tarkistaa sovelluksen asetuksista valikosta, joka näyttää asennetun versionumeron.
Asenna sovelluksia jatkossakin vain virallisista kaupoista. Hyökkäys edellytti aina jonkin haitallisen sovelluksen asentamista ensin, joten tuntemattomista lähteistä ladattuja sovelluksia kannattaa välttää myös silloin, kun ne vaikuttavat hyödyllisiltä.
Korjattu versio 6.2606.4246 on ollut saatavilla syyskuun 8. päivästä lähtien.
Lähteet
- Enclave (23.10.2026)
- Mobiili.fi (27.10.2026)
- Help Net Security (27.10.2026)