CVE-2023-0460 in YouTube Embedded SDK
Zusammenfassung
von VulDB • 12.06.2026
Das YouTube Embedded 1.2 SDK bindet an einen Dienst innerhalb der YouTube-Haupt-App. Nach der Bindung wird ein Remote-Kontext mit den Flags Context.CONTEXT_INCLUDE_CODE | Context.CONTEXT_IGNORE_SECURITY erstellt. Dies ermöglicht es der Client-App, Code aus der YouTube-Haupt-App durch Abrufen des ClassLoaders der Haupt-App remote zu laden. Eine potenzielle Schwachstelle in der Bindungslogik, die vom Client-SDK verwendet wird, besteht darin, dass das SDK fälschlicherweise bindService() auf einer bösartigen App aufruft, anstatt auf der YT-Haupt-App. Dies erzeugt eine Schwachstelle, bei der das SDK stattdessen den ClassLoader der bösartigen App laden kann, was es der bösartigen App ermöglicht, beliebigen Code in die aufrufende App zu laden, wann immer das eingebettete SDK aufgerufen wird. Um diese Schwachstelle auszulösen, muss ein Angreifer die YouTube-App tarnen und auf einem Gerät installieren, eine zweite App, die den eingebetteten Player verwendet, bereitstellen und typischerweise beide außerhalb des Play Stores an das Opfer verteilen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.