Resumo
Microsoft Authenticator para Android tinha vulnerabilidade grave que permitia a invasores obterem credenciais de autenticação; problema foi corrigido.
A falha, pontuada com 8,6 na escala de gravidade CVSS 3.1, permitia que aplicativos maliciosos se passassem por apps oficiais e obtivessem tokens de autenticação.
Usuários devem instalar a versão 6.2606.4246 ou posterior do Microsoft Authenticator para corrigir o problema; atualização já está disponível na Google Play Store.
Se você usa o Microsoft Authenticator para Android, certifique-se de ter a versão mais recente do aplicativo instalada em seu dispositivo. Isso porque a versão atualizada corrige uma vulnerabilidade grave no app que, como tal, pode permitir que um invasor obtenha credenciais de autenticação em vários serviços.
O problema foi descoberto pela empresa de segurança digital Enclave e recebeu a pontuação 8,6 (de 10) na escala de gravidade CVSS 3.1. Isso significa que a vulnerabilidade é realmente muito séria.
De acordo com a Enclave, um invasor pode explorar a falha fazendo um aplicativo para Android, mesmo que não tenha privilégios ou permissões especiais, se passe por um app oficial da própria Microsoft, de modo a induzir o Authenticator a repassar a ele tokens de autenticação correspondentes.
A partir daí, os tokens de autenticação podem ser usados para permitir que o invasor tenha acesso a contas do usuário em vários serviços.
