Уязвимости на LeakyLooker

Изследователи по киберсигурност разкриха набор от девет уязвимости в Google Looker Studio, които биха могли да позволят на атакуващите да изпълняват произволни SQL заявки към базите данни на жертвите и да извличат чувствителна информация от организационни среди, работещи на Google Cloud Platform.

Колекцията от недостатъци е общо наречена LeakyLooker. Изследователите съобщиха за проблемите чрез отговорно разкриване на информация през юни 2025 г. и оттогава уязвимостите са отстранени. Понастоящем няма доказателства, че тези слабости са били използвани при реални атаки.

Анализаторите по сигурността предупреждават, че недостатъците подкопават основните архитектурни предположения в платформата и въвеждат неразпознат досега клас атаки, способни да манипулират или извличат данни между множество облачни наематели.

Деветте уязвимости зад повърхността на атаката LeakyLooker

Проучването идентифицира девет различни недостатъка, засягащи различни компоненти на платформата и нейните конектори за данни. Тези уязвимости включват:

• Неоторизиран достъп от друг клиент чрез SQL инжектиране с нулево кликване в конектори за база данни
• Неоторизиран достъп от друг клиент чрез SQL инжектиране с нулево кликване, използвайки съхранени идентификационни данни
• SQL инжектиране между наематели, насочено към BigQuery чрез нативни функции
• Излагане на източници на данни между наематели чрез хипервръзки
• SQL инжектиране между различни потребители, засягащо Spanner и BigQuery чрез персонализирани заявки към източника на данни на жертвата
• SQL инжектиране между наематели чрез Looker Linking API, засягащо BigQuery и Spanner
• Изтичане на данни между наематели чрез рендиране на изображения
• XS-Leak между наематели върху произволни източници на данни, използващи броене на кадри и странични канали, базирани на време
• Атаки за отказ на портфейл между наематели чрез консумация на ресурси от BigQuery

Взети заедно, тези проблеми биха могли да позволят на злонамерените лица да извличат, вмъкват или изтриват данни от услуги на жертвите, работещи в среди на Google Cloud.

Широко разпространена експозиция в конекторите за данни

Уязвимостите представляваха риск за организациите, използващи широк спектър от интеграции на данни с Looker Studio. Засегнатата екосистема обхваща множество платформи за съхранение и бази данни, често използвани в корпоративни среди, включително Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL и Google Cloud Storage.

Всяка организация, която разчита на тези конектори в таблата за управление на Looker Studio, потенциално би могла да бъде засегната, тъй като уязвимостите са позволили на атакуващите да преминават границите на наемателите и да имат достъп до ресурси, принадлежащи на различни облачни проекти.

Пътища за експлоатация: От публични отчети до контрол на базата данни

Сценариите за атаки, описани от изследователи, показват как нападателите могат да използват публично достъпни табла за управление или да получат достъп до частно споделени отчети. След като получат достъп, злонамерените лица могат да използват уязвимостите, за да поемат контрол над свързани бази данни.

Един сценарий включваше сканиране за публично достъпни отчети на Looker Studio, свързани с източници на данни като BigQuery. Чрез експлоатацията на недостатъци за инжектиране, нападателите можеха да изпълняват произволни SQL заявки в целия облачен проект на собственика, което позволяваше мащабно извличане на данни.

Друг път на атака използва логическа грешка в механизма за копиране на отчети. Когато жертва сподели отчет, публично или с конкретни потребители, и отчетът използва JDBC-базиран източник на данни, като например PostgreSQL, нападателите можеха да дублират отчета, като същевременно запазят съхранените идентификационни данни на оригиналния собственик. Тази грешка позволяваше на неупълномощени потребители да извършват действия като промяна или изтриване на таблици в базата данни.

Изследователите също така демонстрираха високоефективна техника, позволяваща извличане на данни с едно щракване. В този сценарий жертва, която е отворила специално създаден отчет, е задействала злонамерена активност в браузъра, която е комуникирала с контролиран от нападателя проект. Чрез анализ и реконструкция на лог файлове, нападателят е могъл да възстанови цели бази данни от заловените данни.

Модел на нарушено доверие: Разрешенията за зрители са насочени срещу платформата

Уязвимостите ефективно подкопаха основен принцип на дизайна на Looker Studio: предположението, че потребителите с достъп на ниво зрител не могат да контролират или влияят върху основните данни.

Чрез използването на откритите слабости, нападателите биха могли да заобиколят тази граница на сигурност и да взаимодействат директно със свързани услуги. Тази възможност отвори вратата за неоторизирано извличане на данни, манипулация и достъп между потребители, засягайки услуги като BigQuery и Google Sheets.

Въпреки че уязвимостите вече са отстранени, констатациите подчертават важността на стриктния дизайн на сигурността в облачните платформи с множество наематели, където един-единствен логически недостатък може да доведе до широко разпространение в различни среди.