🏠IT之家•較早收集於 4m
Microsoft 365 Android 版因調試標記漏洞導致憑證外洩
💡Microsoft 365 Android 應用因調試配置錯誤，導致憑證遭靜默竊取的重大安全漏洞。
⚡ 30-Second TL;DR
有什麼變化
正式版本中誤留調試標記 'setIsDebugMode(true)'。
為什麼重要
此漏洞凸顯了企業級行動應用在供應鏈與配置管理上的重大風險。FOCI 憑證外洩可能導致攻擊者長期且靜默地存取敏感使用者資料，後果嚴重。
下一步行動
若您是企業開發者，請審查您的 CI/CD 流程，確保所有正式發布的 APK 已移除調試標記與測試配置。
誰應關注：Developers & AI Engineers
關鍵要點
- •正式版本中誤留調試標記 'setIsDebugMode(true)'。
- •第三方應用可在無需使用者權限下攔截 FOCI 憑證。
- •受影響應用包含 Word、PowerPoint、Excel、OneNote、Loop 及 Microsoft 365 Copilot。
- •微軟已發布修補程式，建議使用者與 IT 管理員立即更新。
🧠 深度解析
Web-grounded analysis with 15 cited sources.
🔑 增強重點摘要
- •此漏洞被Enclave安全研究人員命名為「FlagLeft」。
- •該缺陷存在於一個共享的Microsoft SDK中，導致此漏洞在所有六個受影響的應用程式中重複出現。
- •Microsoft Teams未受影響，因為其調試標記在生產版本中被正確設定為'false'。
- •洩露的憑證是客戶端ID家族 (FOCI) 刷新令牌，這些令牌具有較長的生命週期，可以持續生成新的訪問令牌，對攻擊者而言特別有價值。
- •微軟為此漏洞分配了多個CVE編號，包括針對Microsoft 365 Copilot的CVE-2026-41100、Word的CVE-2026-41101、PowerPoint的CVE-2026-41102，以及包含Word和Excel的Microsoft Office的CVE-2026-42832。
🛠️ 技術深入
- 該漏洞源於
setIsDebugMode(true)調試標記在共享的Microsoft SDK生產版本中被錯誤地啟用。 - 此調試標記繞過了關鍵的信任檢查，這些檢查旨在確保FOCI令牌僅在受信任的Microsoft應用程式之間共享。
- FOCI（Family of Client IDs）是Microsoft 365應用程式用於提供無縫單一登入（SSO）體驗的令牌共享系統，允許用戶在Word和Excel等應用程式之間切換而無需重新驗證。
- 攻擊者可以透過在同一Android裝置上安裝惡意第三方應用程式來利用此漏洞，該應用程式可以模擬合法請求並靜默獲取有效且長期存在的FOCI刷新令牌。
- 這些刷新令牌可能賦予攻擊者對敏感用戶數據（如電子郵件、文件、日曆）的完全訪問權限，並允許他們發送未經授權的通訊，所有這些都無需密碼、登入提示或可疑的Android權限。
- 該漏洞被歸類為CWE-284（不當訪問控制）。
🔮 前景展望AI analysis grounded in cited sources
企業將加強對行動裝置應用程式安全性的審查。
此漏洞凸顯了即使是第一方應用程式也可能因簡單的配置錯誤而導致嚴重安全問題，促使企業對其行動裝置管理 (MDM) 策略和應用程式審核流程進行更嚴格的審查。
微軟將進一步強化其SDK開發與發布流程中的安全檢查。
由於漏洞存在於共享SDK中並影響多個應用程式，微軟可能會實施更嚴格的自動化和手動審核，以防止調試標記或其他敏感配置在生產版本中被意外啟用。
行動應用程式開發者將更重視生產環境中的調試標記管理。
此次事件為所有行動應用程式開發者敲響警鐘，提醒他們在發布應用程式時，必須確保所有調試相關的標記和功能都已正確禁用，以避免類似的憑證洩漏風險。
⏳ 時間線
2026-05-12
微軟發布修補程式並分配CVE編號，透過Patch Tuesday和Google Play商店更新修復漏洞。
2026-06-02
Enclave安全研究人員公開披露此漏洞的技術細節，並將其命名為「FlagLeft」。
2026-06-03
多家資安媒體報導此漏洞，強調其對數十億Android用戶的潛在影響。
2026-06-05
IT之家報導微軟365 Android版因調試標記漏洞導致憑證外洩。
📎 來源 (15)
Factual claims are grounded in the sources below. Forward-looking analysis is AI-generated interpretation.
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： IT之家 ↗