Microsoft 365 安卓版曾现凭证风险:调试模式误入正式版,微软已修复

Microsoft 365 安卓应用近期被安全研究团队点名 。 问题并非复杂攻击链, 而是一个本应只存在于测试阶段的调试标记进入了正式版本, 导致部分应用的账户凭证共享流程出现绕过风险。值得注意的是, 相关漏洞在公开披露前已完成修复, 用户当前最重要的动作是尽快更新应用。

📌 从测试标记到正式版本: 风险如何出现

根据安全研究团队 FlagLeft 披露的信息, 微软多款 Android 端办公应用在发布过程中保留了调试模式相关配置。该配置原本用于开发和测试阶段, 方便工程流程验证, 但进入生产环境后, 会影响应用之间的身份校验逻辑。

Microsoft 365 生态内存在单点登录和凭证共享设计。正常情况下, 用户在 Word 登录后, 再打开 Excel、PowerPoint 等应用时无需重复输入账号密码; 这一体验依赖应用之间安全传递 Token, 并校验请求方是否可信。

🔍 受影响应用与已知修复进展

从时间线看,安全团队先向微软安全响应中心进行了负责任披露; 随后微软确认问题, 并为不同应用发布安全指南和修复。公开信息显示, 相关修复已包含在 5 月中旬及之后的更新中。

• 6 月 2 日前后:安全团队公开披露漏洞细节。
• 公开披露前:微软已完成相关修复并发布补丁。
• 当前阶段:个人用户和企业管理员应核查安卓端应用版本。

💡 为何这个漏洞值得重视

该漏洞的危险之处在于攻击门槛相对隐蔽。研究人员称, 安装在同一台设备上的恶意第三方应用, 在特定条件下可能静默获取 Microsoft 365 登录凭证, 无需用户输入密码, 也不一定触发明显的权限提示或登录页面。

被提及的凭证类型与 FOCI(Family of Client IDs)相关。此类凭证可用于微软应用族内的身份续期和访问, 因此一旦被滥用, 攻击行为在网络流量和日志表现上可能更接近正常用户操作, 增加发现难度。

• 可能访问邮件、文件、日历等账户数据;
• 可能以已登录用户身份发送或修改内容;
• 不依赖窃取明文密码, 传统密码防护难以单独覆盖风险;
• 企业环境中, 托管设备数量越多, 排查压力越大。

📊 行业观察: 低级失误也可能放大为供应链风险

这起事件提醒移动应用发布流程不能只关注功能回归。一个调试标记如果缺少发布前拦截, 就可能沿着共享 SDK 或通用组件扩散到多款产品。研究团队也指出, 最初看似单一应用的问题, 后来被发现影响到 Microsoft 365 安卓端多款主力应用。

🚀 用户和企业现在该怎么做

围绕“微软 365 安卓版被曝低级漏洞: 因误开 Debug 模”，这一部分可从背景、现状与影响三个角度理解其关键信息。结合已公开内容来看，核心结论是趋势已较为明确，但细节仍需结合后续进展持续观察。