Android版Microsoft Authenticatorに権限ゼロのアプリがTeamsを装いトークンを得られる欠陥　CVE-2026-80097、6.2606.4246で修正

Enclaveの解説によると、Authenticatorのcom.microsoft.identity.client.AccountChooserActivityがexportedで、どのアプリからも起動できた。呼び出し元UIDやパッケージ名、クライアントID、リダイレクトURI、スコープはすべて呼び出し側が渡す値から組み立てられ、検証は「名乗ったパッケージの署名から作ったリダイレクトURIと、渡されたURIが一致するか」だけだった。なりすまし先のアプリが端末に入っていれば正しいURIを作れるため、検証は常に通り、実際の呼び出し元が誰かは確認されていなかった。検証ではTeamsを名乗ったアプリがアクセス・リフレッシュ・IDトークンを受け取り、Microsoft Graph経由でメール、ファイル、予定表に委任アクセスできたとしている。Microsoftは9月8日にこの脆弱性を公開しており、CVSS 3.1の基本値は8.6、深刻度は「重要」、分類はCWE-287（不適切な認証）。