اپلیکیشن‌های اندرویدی Microsoft 365 به هر برنامه‌ای اجازه می‌دهند توکن‌های حساب کاربری را سرقت کنند

یک آسیب‌پذیری جدی در چندین اپلیکیشن اندرویدی مجموعه Microsoft 365 کشف شده که به هر اپلیکیشن دیگری روی همان دستگاه اجازه می‌داد بدون نیاز به رمز عبور یا تأیید هویت، توکن‌های دسترسی (account tokens) کاربر را سرقت کرده و به ایمیل، فایل‌ها، تقویم و پیام‌های او دسترسی پیدا کند. این نقص که شرکت امنیتی Enclave آن را «FlagLeft» نامیده، ناشی از باقی ماندن یک خط کد توسعه‌ای (`setIsDebugMode(true)`) در نسخه‌های تولیدی بود که مکانیزم تأیید هویت اپلیکیشن‌های درخواست‌کننده توکن را غیرفعال می‌کرد. این آسیب‌پذیری اپلیکیشن‌های Word، PowerPoint، Excel، Microsoft 365 Copilot، Loop و OneNote را تحت تأثیر قرار داد و توکن‌های به‌سرقت‌رفته از نوع FOCI بودند که برای ورود یکپارچه (single sign-on) در اکوسیستم مایکروسافت استفاده می‌شوند و عمر طولانی دارند.

مایکروسافت در دوازدهم مه چهار شناسه آسیب‌پذیری (CVE) منتشر کرد: CVE-2026-41100 برای Copilot با امتیاز CVSS 4.4، CVE-2026-41101 برای Word با امتیاز 7.1، CVE-2026-41102 برای PowerPoint با امتیاز 7.1، و CVE-2026-42832 برای Excel با امتیاز 7.7، همگی در دسته جعل هویت (spoofing) با کنترل دسترسی نادرست (CWE-284) طبقه‌بندی شده‌اند. هیچ مدرکی از بهره‌برداری فعال پیش از انتشار وصله وجود ندارد. کاربران باید فوراً این اپلیکیشن‌ها را از Google Play به‌روزرسانی کنند؛ نسخه امن Word برای اندروید 16.0.19822.20190 است. تیم‌های امنیتی سازمانی علاوه بر به‌روزرسانی، باید توکن‌های تازه‌سازی (refresh tokens) حساب‌هایی که روی دستگاه‌های آسیب‌پذیر فعال بوده‌اند را ابطال کنند، زیرا وصله نصب‌شده توکن‌های احتمالاً سرقت‌شده را به‌طور خودکار باطل نمی‌کند.