セキュリティ · 2026年10月31日
Microsoft Authenticatorの脆弱性AuthMaskによりMicrosoft 365アカウントへのアクセスが可能に
Microsoft AuthenticatorのAndroid版において、Microsoft 365の業務用アカウントへのアクセスを許す脆弱性が発見されました。
この脆弱性はCVE-2026-80097として識別されており、AuthMaskと呼ばれています。悪意のあるアプリケーションが、信頼されたMicrosoftアプリケーションになりすますことで、デバイスに接続されている業務用アカウントのアクセストークンを取得することが可能でした。このトークンはデジタル通行証として機能し、攻撃者はこれを利用してメール、ファイル、カレンダーへの完全な委任アクセス権を得ることができました。また、パスキーの作成や削除が可能であった可能性も示唆されています。
技術的な原因は、Authenticatorの設計上の不備にあります。Android上のAccountChooserActivityというアカウント選択画面が、特別な権限なしに他のアプリケーションから起動可能となっていました。Authenticatorは、呼び出し元のアプリケーションが提供した名称をそのまま信頼してトークン要求を構築していました。本来は署名チェックによってなりすましを防ぐ仕組みがありましたが、実際にはデバイスにインストールされている本物のアプリケーションの署名を読み取ってリクエストに含めることで、認証を回避できる状態にありました。
この脆弱性の深刻度について、MicrosoftはCVSSスコアで10点満点中8.6点と評価しています。攻撃の条件について、Enclaveの研究者はユーザーの操作なしにトークンを取得できたと主張していますが、Microsoftは悪意のあるアプリのインストールに加え、ユーザーがAuthenticator内で認証ステップを承認する必要があると述べています。
Microsoftはこの問題を修正し、Android版Microsoft Authenticatorのバージョン6.2606.4246で対策を講じました。この修正は2026年9月8日のパッチチューズデーに関連して提供されており、最新バージョンに更新することで保護されます。