सार:
साइबर सुरक्षा शोधकर्ता एओइफ़ क्रेवेन ने हाल ही में ऑथमास्क हमले श्रृंखला का खुलासा करते हुए एक रिपोर्ट जारी की: दुर्भावनापूर्ण एंड्रॉइड एप्लिकेशन खाता टोकन प्राप्त करने के लिए स्थापित माइक्रोसॉफ्ट अनुप्रयोगों का प्रतिरूपण करने के लिए माइक्रोसॉफ्ट प्रमाणक के प्रमाणीकरण प्रॉक्सी का उपयोग कर सकते हैं। भेद्यता क्रमांकित है CVE-2026-80097. सुरक्षा शोधकर्ताओं ने इसे ठीक करने के लिए Microsoft को पहले ही सूचित कर दिया था, और Microsoft ने सितंबर में भेद्यता को ठीक करने के लिए एक अद्यतन जारी किया था।
Microsoft प्रमाणक का उपयोग केवल TOTP प्रमाणक के रूप में किया जा सकता है, जो 6-अंकीय गतिशील सत्यापन कोड उत्पन्न करता है। हालाँकि, Microsoft प्रमाणक Microsoft अनुप्रयोगों के लिए प्रमाणीकरण प्रॉक्सी सेवाएँ भी प्रदान करता है, अर्थात, उपयोगकर्ता प्रमाणक द्वारा पुष्टि किए जाने के बाद Microsoft 365 संसाधन प्राप्त करने के लिए कॉर्पोरेट खातों में लॉग इन कर सकते हैं।
समस्या उन घटकों में है जिन्हें Microsoft अन्य अनुप्रयोगों को कॉल करने के लिए खोलता है। शोध में पाया गया है कि कॉलिंग एप्लिकेशन अनुरोध में एप्लिकेशन का नाम, पैकेज का नाम, क्लाइंट आईडी और पुनर्निर्देशन पता भर सकता है। प्रमाणक अनुरोध द्वारा दावा की गई एप्लिकेशन पहचान के विरुद्ध रीडायरेक्ट पते की जांच करता है, लेकिन वास्तव में कॉल करने वाली एप्लिकेशन पहचान का उपयोग करके प्राधिकरण निर्धारण को पूरा नहीं करता है।
उदाहरण के लिए, एक दुर्भावनापूर्ण एप्लिकेशन Microsoft टीम होने का दावा कर सकता है जो डिवाइस पर पहले से इंस्टॉल है। चूंकि एप्लिकेशन का हस्ताक्षर और रीडायरेक्ट पता डिवाइस पर मौजूद है, माइक्रोसॉफ्ट प्रमाणक इस छद्म रूप को स्वीकार करेगा और अंततः उस एप्लिकेशन को वास्तविक टोकन लौटाएगा जिसने वास्तव में अनुरोध शुरू किया था।
सुरक्षा शोधकर्ताओं ने उदाहरण के तौर पर माइक्रोसॉफ्ट टीम्स को लेते हुए विभिन्न एप्लिकेशन पहचान छिपाने का परीक्षण किया। छिपाने के बाद, उन्होंने Microsoft ग्राफ़ प्रत्यायोजित अनुमतियाँ प्राप्त कीं, जिनमें ईमेल पढ़ना और भेजना, फ़ाइलों तक पहुँचना, कैलेंडर संशोधित करना, Microsoft टीम संदेश भेजना और SharePoint सामग्री को संचालित करना शामिल था। एक्सेस टोकन सीधे संबंधित संसाधनों तक भी पहुंच सकते हैं, और वैधता अवधि के भीतर नए एक्सेस टोकन के लिए रीफ्रेश टोकन का आदान-प्रदान भी किया जा सकता है।
शोध के अनुसार, दोष का फायदा उठाने वाले हमलावर उपयोगकर्ताओं के प्रमाणीकरण तरीकों को भी प्रबंधित कर सकते हैं, पास कुंजी बना और हटा सकते हैं, जिससे न केवल डेटा पढ़ने से संबंधित जोखिम होता है, बल्कि खाते की लॉगिन सुरक्षा सेटिंग्स भी शामिल हो सकती हैं।
भेद्यता का पता चलने के बाद, शोधकर्ताओं ने जिम्मेदारीपूर्वक Microsoft को इसकी सूचना दी है। मुख्य रूप से प्रभावित माइक्रोसॉफ्ट ऑथेंटिकेटर 6.0.0~6.2606.4246 का एंड्रॉइड संस्करण है। समस्या को ठीक करने के लिए Microsoft ने 8 सितंबर को संस्करण 6.2606.4246 जारी किया।
कुछ उपयोगकर्ताओं को लंबे समय तक नए संस्करण में अपग्रेड न करने से रोकने के लिए, शोधकर्ताओं ने भेद्यता तय होने के बाद भेद्यता का विवरण प्रकाशित नहीं किया। अब, शोधकर्ताओं द्वारा भेद्यता की घोषणा किए हुए 50 दिन बीत चुके हैं। यह अनुमान लगाया गया है कि हमलावर हमले के अवसर खोजने के लिए प्रासंगिक खामियों का उपयोग करेंगे।
टिप्पणियाँ