Datenklau per App: Unzählige Microsoft-Nutzer durch winzige Codepanne gefährdet
Sicherheitsforscher von Enclave haben in mehreren Microsoft-Apps für Android eine gefährliche Sicherheitslücke entdeckt. Angreifer hätten damit unbemerkt in die Microsoft-Konten unzähliger Nutzer eindringen und auf deren E-Mails, Kalender und in der Cloud gespeicherten Dateien zugreifen können.
Patches stehen zur Verfügung. Anwender sollten ihre Microsoft-Apps aktualisieren, um die Korrekturen zu erhalten.
Betroffen sind laut dem Blogbeitrag der Forscher(öffnet im neuen Fenster) die Android-Apps von Microsoft Word, Excel, Powerpoint, Onenote sowie Microsoft 365 Copilot und Microsoft Loop. Darin wurde es offenbar versäumt, ein nur für Debugging-Zwecke vorgesehenes Flag namens setIsDebugMode vor der Auslieferung zurückzusetzen.
Nach Angaben der Forscher stand das Flag auf dem Wert true. Dadurch war jede beliebige Android-App auf den Geräten der Nutzer in der Lage, die Account-Tokens der jeweiligen Microsoft-Konten abzugreifen. Angreifer hätten also eine eigene Android-App in Umlauf bringen können, die nach der Installation unbemerkt Tokens für den Zugriff auf unzählige Microsoft-Konten einsammelt und ausleitet.
Feature soll Account-Anmeldungen sparen
Dass die Tokens überhaupt abgerufen werden konnten, ist laut Enclave einem Feature geschuldet, das eigentlich nur dem Austausch von Authentifizierungsdaten zwischen den Microsoft-Apps dienen soll. Apps wie Word, Excel und Powerpoint können dadurch auf die gleichen Account-Tokens zurückgreifen, damit sich Nutzer nicht in jeder der Anwendungen anmelden müssen, sondern nur in einer davon.
Durch das genannte Flag hatten jedoch nicht nur diese Apps Zugriff auf die Tokens, sondern auch alle anderen Anwendungen. Da die Ursache des Fehlers nach Angaben der Forscher in einem gemeinsam genutzten Microsoft-SDK lag, wirkte er sich auf mehrere Apps aus. Es gibt jedoch auch Ausnahmen. Die Teams-App soll beispielsweise nicht anfällig gewesen sein.
Entdeckt wurde die Sicherheitslücke dem Blogbeitrag zufolge unter Einsatz eines KI-Tools. Microsoft hat für die Schwachstelle mit CVE-2026-41100(öffnet im neuen Fenster), CVE-2026-41101(öffnet im neuen Fenster), CVE-2026-41102(öffnet im neuen Fenster) und CVE-2026-42832(öffnet im neuen Fenster) mehrere CVE-IDs registriert. Patches stehen nach Angaben des Konzerns seit dem Mai-Patchday, also dem 12. Mai zur Verfügung. Wer die neuesten Versionen der betroffenen Apps installiert hat, ist also geschützt.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.