요약:
사이버 보안 연구원인 Aoife Craven은 최근 AuthMask 공격 체인을 공개한 보고서를 발표했습니다. 악성 Android 애플리케이션은 Microsoft Authenticator의 인증 프록시를 사용하여 설치된 Microsoft 애플리케이션을 가장하여 계정 토큰을 얻을 수 있습니다. 취약점 번호는 CVE-2026-80097입니다. 보안 연구원들은 이를 수정하기 위해 마이크로소프트에 사전 통보했고, 마이크로소프트는 지난 9월 해당 취약점을 수정하는 업데이트를 발표했다.
Microsoft Authenticator는 6자리 동적 확인 코드를 생성하는 TOTP 인증자로만 사용할 수 있습니다. 그러나 Microsoft Authenticator는 Microsoft 애플리케이션에 대한 인증 프록시 서비스도 제공합니다. 즉, 사용자는 인증자의 확인을 받은 후 회사 계정에 로그인하여 Microsoft 365 리소스를 얻을 수 있습니다.
문제는 Microsoft가 다른 애플리케이션을 호출하기 위해 여는 구성 요소에 있습니다. 조사에 따르면 호출 애플리케이션은 요청에 애플리케이션 이름, 패키지 이름, 클라이언트 ID 및 리디렉션 주소를 채울 수 있는 것으로 나타났습니다. 인증자는 요청에서 주장한 애플리케이션 ID에 대해 리디렉션 주소를 확인하지만 실제로 호출한 애플리케이션 ID를 사용하여 권한 부여 결정을 완료하지 않습니다.
예를 들어 악성 애플리케이션이 기기에 이미 설치되어 있는 Microsoft Teams라고 주장할 수 있습니다. 애플리케이션의 서명과 리디렉션 주소가 장치에 존재하므로 Microsoft Authenticator는 이 변장을 수락하고 최종적으로 실제로 요청을 시작한 애플리케이션에 실제 토큰을 반환합니다.
보안 연구원들은 Microsoft Teams를 예로 들어 다양한 애플리케이션 ID 위장을 테스트했습니다. Disguise 후에는 이메일 읽기 및 보내기, 파일 액세스, 일정 수정, Microsoft Teams 메시지 보내기, SharePoint 콘텐츠 운영 등 Microsoft Graph 위임 권한을 얻었습니다. 액세스 토큰은 해당 리소스에 직접 액세스할 수도 있으며, 리프레시 토큰도 유효 기간 내에 새로운 액세스 토큰으로 교환할 수 있습니다.
연구에 따르면, 이 결함을 악용하는 공격자는 사용자의 인증 방법을 관리하고 패스 키를 생성 및 삭제할 수도 있으며, 이는 데이터 읽기와 관련된 위험을 초래할 뿐만 아니라 계정 자체의 로그인 보안 설정과도 관련될 수 있습니다.
취약성을 발견한 후 연구원들은 책임 있게 이를 Microsoft에 보고했습니다. 주요 영향을 받는 제품은 Android 버전의 Microsoft Authenticator 6.0.0~6.2606.4246입니다. Microsoft는 이 문제를 해결하기 위해 9월 8일 버전 6.2606.4246을 출시했습니다.
일부 사용자가 오랫동안 새 버전으로 업그레이드하지 않는 것을 방지하기 위해 연구원들은 취약점이 수정된 후 취약점에 대한 세부 정보를 게시하지 않았습니다. 이제 연구원들이 취약점을 발표하기까지 50일이 지났습니다. 공격자는 관련 결함을 이용해 공격 기회를 찾을 것으로 추정됩니다.
댓글