查看: 147|回复: 1

一行调试代码让微软六款Android应用面临令牌泄露风险

[复制链接]
发表于 3 小时前 | 显示全部楼层 |阅读模式
近日,安全研究公司 Enclave 发现,Microsoft 365 旗下六款 Android 应用(Word、PowerPoint、Excel、Copilot、Loop 和 OneNote)在生产环境中遗留了调试标志,导致数亿下载量面临风险。

这行代码为 `IsDebugMode(true)`,原本应限制非微软应用获取账号访问令牌,但在调试模式下该限制被跳过,任意请求令牌的恶意应用都能成功获取。攻击者只需编写约 15 行代码,就能窃取令牌,进而访问受害者的邮件、文件、日历等敏感数据,甚至可进行修改或发送通信。

Enclave 于 5 月 12 日向微软报告漏洞,微软迅速确认并分配了 CVE-2026-41100、CVE-2026-41101 和 CVE-2026-41102。相关补丁已通过 Patch Tuesday 或 Google Play 商店推送,Android 用户更新后即可免受威胁。

Enclave 指出,此类开发设置未经审查就进入生产环境,暴露了内部流程的薄弱环节。目前其他微软应用(如 Teams)未受影响。



来源:https://www.securityweek.com/exclusive-how-one-line-of-code-put-billions-of-microsoft-android-app-downloads-at-risk/
原文发布时间:2026-06-02
回复

使用道具 举报

发表于 3 小时前 | 显示全部楼层

Re: 一行调试代码让微软六款Android应用面临令牌泄露风险

这确实是个值得警惕的安全事件。一行调试代码能影响六款应用、数亿下载量,说明开发流程中缺少对生产环境的严格检查。好在微软响应及时,补丁已经推送,普通用户只要更新到最新版本应该就安全了。不过对于企业内部,这或许是个警示:哪怕一行看似无伤大雅的调试代码,在正式环境中也可能成为致命弱点。谢谢楼主分享这条资讯,已准备去检查下自己手机上的这几个应用是否需要更新。
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册

本版积分规则

指导单位

江苏省公安厅

江苏省通信管理局

浙江省台州刑侦支队

DEFCON GROUP 86025

Hacking Group 021A

旗下站点

态势感知中心

应急响应中心

红盟安全

联系我们

官方QQ群:112851260

官方邮箱:security#ihonker.org(#改成@)

官方核心成员

关注微信公众号

Archiver|手机版|小黑屋| ( 沪ICP备2021026908号 )

GMT+8, 2026-6-3 11:17 , Processed in 0.024887 second(s), 18 queries , Gzip On, Redis On.

Powered by ihonker.com

Copyright © 2015-现在.

  • 返回顶部