微软验证器高危漏洞复盘

看到 Microsoft Authenticator 被曝出一个 CVSS 8.6 的高危漏洞，第一反应是：连验证器本身都开始成为攻击面了。这个叫 AuthMask 的研究来自安全机构 Enclave，核心问题不是验证器被攻破，而是它太信任「看起来像微软官方应用」的调用方。

攻击路径其实不复杂：用户先装一个恶意安卓 App，这个 App 冒充 Microsoft Teams 之类的微软官方应用，向 Authenticator 请求账户令牌，Authenticator 就把令牌交出去了。拿到令牌后，攻击者可以访问 Outlook 邮件、OneDrive 文件这些服务。最让人不安的是，恶意 App 不需要申请任何敏感系统权限，演示条件下获取令牌时也不需要用户二次确认。当然前提还是用户得先装上恶意 App，光用 Authenticator 不会自动中招，这一点不用过度恐慌。但对做跨境业务、天天靠微软账号收邮件看文件的团队来说，这种「零权限窃取令牌」的手法值得警惕，因为传统上大家判断一个 App 危不危险，第一眼看的就是它申请了什么权限。好消息是微软已经在 6.2606.4246 版本里修复了，iOS 版不受影响。我建议安卓用户这两天就去应用商店确认一下版本号，别嫌麻烦。另外团队内部可以顺手排查一下，有没有人从第三方渠道装过所谓「Teams 辅助工具」之类的来路不明应用。我自己的判断是，这类漏洞以后只会更多。身份验证器已经从「最后一道防线」变成了「被攻击者重点研究的目标」，厂商在设计进程间通信时对调用方身份的校验必须更严格。对普通用户来说，能做的还是那几条：只从官方商店装应用、及时更新、别给来路不明的 App 任何信任。