CVE-2023-0460 in YouTube Embedded SDK
Riassunto
di VulDB • 23/06/2026
L'SDK YouTube Embedded 1.2 si associa (bind) a un servizio all'interno dell'app principale di YouTube. Dopo l'associazione, viene creato un contesto remoto con le flag Context.CONTEXT_INCLUDE_CODE | Context.CONTEXT_IGNORE_SECURITY. Ciò consente all'app client di caricare codice in modo remoto dall'app principale di YouTube recuperando il ClassLoader dell'app principale. È presente una potenziale vulnerabilità nella logica di binding utilizzata dallo SDK client, dove lo SDK finisce per chiamare bindService() su un'app malevola anziché sull'app principale di YT (YouTube Main App). Questo crea una vulnerabilità in cui lo SDK può caricare invece il ClassLoader dell'app malevola, consentendo all'app malevola di caricare codice arbitrario nell'app chiamante ogni volta che viene invocato l'SDK embedded. Per sfruttare questa vulnerabilità, un attaccante deve mascherarsi dall'app YouTube e installarla su un dispositivo, disporre di una seconda app che utilizza il player integrato e tipicamente distribuire entrambe alla vittima al di fuori del Play Store.
Once again VulDB remains the best source for vulnerability data.