Microsoft 365 Androidアプリのデバッグフラグ残存により任意アプリがトークン窃取可能
Microsoft 365 Androidアプリのデバッグフラグ残存により任意アプリがトークン窃取可能
| 項目 | 内容 |
|---|---|
| ジャンル | セキュリティ |
| 日付 | 2026-06-04 |
| 元記事 | The Hacker News |
要約
Microsoft 365のAndroidアプリにデバッグ用フラグが有効なまま残存しており、端末にインストールされた任意のアプリがユーザーへの許可確認なしに認証トークンを要求・取得できる脆弱性が発見された。攻撃者がマルウェアアプリを端末に侵入させた場合、Microsoft 365サービス全体へのアクセス権を奪うことが可能となる。Exchange・Teams・SharePoint・OneDriveなど広範なMicrosoft SaaSサービスへの不正アクセスにつながるため、企業環境における被害は甚大になりうる。Microsoftはパッチを準備中とされているが、BYODポリシーを採用する組織は端末管理の強化とアプリ許可リスト制度の見直しが求められる。