Présentation du problème
Selon le titre de l’article, une faille découverte dans Microsoft Authenticator permettrait à des applications Android dépourvues de permissions explicites d’extraire les jetons d’accès associés à des comptes professionnels. Aucun identifiant CVE, version affectée ou date de divulgation n’est fourni dans la source, ce qui limite la précision de l’analyse.
Mécanisme de stockage des jetons dans l’application
L’application Authenticator conserve les jetons d’accès OAuth ou SAML dans un keystore protégé par le système d’exploitation Android. En règle générale, ces données sont isolées grâce aux permissions Android (READ_SECURE_SETTINGS, ACCOUNT_MANAGER) et à la sandbox du processus. Le texte indique toutefois que la protection attendue ne s’applique pas, suggérant un contournement du modèle de permissions, possiblement via un broadcast intent non restreint ou une mauvaise implémentation du AccountManager qui expose les authenticator tokens à toute application installée.
Exploitation par des applications sans permission
Le terme « permissionless » implique que l’attaquant n’a pas besoin de déclarer ou d’obtenir les autorisations classiques (READ_CONTACTS, GET_ACCOUNTS, etc.). Un scénario plausible consiste à exploiter une vulnérabilité d’injection de code dans le composant de synchronisation de l’application, ou à intercepter les appels inter‑processus (IPC) non sécurisés. Sans données chiffrées dans l’article, il est impossible de confirmer le vecteur exact, mais la description laisse entendre que le contournement repose sur une faille de exposition de données au niveau du système d’exploitation.
Conséquences et recommandations
Le vol de jetons d’entreprise autorise un acteur malveillant à accéder aux services cloud de Microsoft (Exchange Online, SharePoint, Teams) en se faisant passer pour l’utilisateur légitime, ce qui constitue une escalade de privilèges à distance. En l’absence d’informations sur les correctifs, les administrateurs doivent immédiatement appliquer les meilleures pratiques : désactiver les comptes à double authentification via Authenticator, migrer les comptes critiques vers une méthode d’authentification alternative (hardware token, FIDO2), et surveiller les logs d’accès pour détecter des authentifications inhabituelles. Microsoft devrait publier un correctif ciblé, détailler le CVE associé et fournir des instructions de mitigation.
