CVE-2026-41615

Ujawnienie poufnych informacji w Microsoft Authenticator przez sieć

CVSS 9.6v3.1pub. 2026-05-14upd. 2026-05-15

Podatność w Microsoft Authenticator umożliwia nieuwierzytelnionemu atakującemu ujawnienie wrażliwych informacji za pośrednictwem sieci. Wysoki wynik CVSS (9.6) oraz zakres wpływu obejmujący poufność, integralność i dostępność czynią ją krytycznym zagrożeniem.

▸ Pokaż oryginał (EN)

Exposure of sensitive information to an unauthorized actor in Microsoft Authenticator allows an unauthorized attacker to disclose information over a network.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor) polega na nieprawidłowym ujawnianiu poufnych danych przez aplikację Microsoft Authenticator. Atakujący nie potrzebuje żadnych uprawnień, lecz wymagana jest interakcja użytkownika (UI:R). Wektor sieciowy (AV:N) oraz brak wymagań co do złożoności ataku (AC:L) sprawiają, że exploit może być przeprowadzony zdalnie i bez zaawansowanej wiedzy technicznej. Zakres ataku wykracza poza komponent bazowy (S:C), co oznacza potencjalny wpływ na inne elementy systemu.

Skutki

Atakujący może uzyskać dostęp do poufnych informacji przetwarzanych przez Microsoft Authenticator, a w konsekwencji naruszyć poufność, integralność oraz dostępność zasobów ofiary.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41615. Zaleca się niezwłoczną aktualizację aplikacji Microsoft Authenticator do najnowszej dostępnej wersji.