Ευπάθειες LeakyLooker

Ερευνητές κυβερνοασφάλειας αποκάλυψαν ένα σύνολο εννέα ευπαθειών μεταξύ των μισθωτών στο Google Looker Studio, οι οποίες θα μπορούσαν να έχουν επιτρέψει σε εισβολείς να εκτελέσουν αυθαίρετα ερωτήματα SQL στις βάσεις δεδομένων των θυμάτων και να εξαγάγουν ευαίσθητες πληροφορίες από οργανωτικά περιβάλλοντα που εκτελούνται στο Google Cloud Platform.

Η συλλογή των ελαττωμάτων έχει συλλογικά ονομαστεί LeakyLooker. Οι ερευνητές ανέφεραν τα ζητήματα μέσω υπεύθυνης γνωστοποίησης τον Ιούνιο του 2025 και τα τρωτά σημεία έχουν έκτοτε διορθωθεί. Προς το παρόν, δεν υπάρχουν στοιχεία που να δείχνουν ότι αυτές οι αδυναμίες αξιοποιήθηκαν σε επιθέσεις στον πραγματικό κόσμο.

Οι αναλυτές ασφαλείας προειδοποιούν ότι τα ελαττώματα υπονομεύουν τις βασικές αρχιτεκτονικές υποθέσεις της πλατφόρμας και εισάγουν μια προηγουμένως άγνωστη κατηγορία επιθέσεων ικανή να χειραγωγήσει ή να εξαγάγει δεδομένα από πολλαπλούς μισθωτές cloud.

Τα εννέα τρωτά σημεία πίσω από την επίθεση LeakyLooker στο Surface

Η έρευνα εντόπισε εννέα ξεχωριστά ελαττώματα που επηρεάζουν διαφορετικά στοιχεία της πλατφόρμας και τους συνδέσμους δεδομένων της. Αυτά τα τρωτά σημεία περιλαμβάνουν:

• Μη εξουσιοδοτημένη πρόσβαση μεταξύ μισθωτών μέσω έγχυσης SQL χωρίς κλικ σε συνδέσμους βάσεων δεδομένων
• Μη εξουσιοδοτημένη πρόσβαση μεταξύ μισθωτών μέσω έγχυσης SQL χωρίς κλικ χρησιμοποιώντας αποθηκευμένα διαπιστευτήρια
• Cross-tenant SQL injection που στοχεύει το BigQuery μέσω εγγενών συναρτήσεων
• Έκθεση σε πηγές δεδομένων μεταξύ μισθωτών μέσω υπερσυνδέσμων
• Η έγχυση SQL μεταξύ των μισθωτών επηρεάζει το Spanner και το BigQuery μέσω προσαρμοσμένων ερωτημάτων στην πηγή δεδομένων ενός θύματος
• Έγχυση SQL μεταξύ μισθωτών μέσω του API σύνδεσης Looker, που επηρεάζει το BigQuery και το Spanner
• Διαρροή δεδομένων μεταξύ μισθωτών μέσω απόδοσης εικόνων
• Διαρροή XS μεταξύ των μισθωτών σε αυθαίρετες πηγές δεδομένων χρησιμοποιώντας καταμέτρηση καρέ και πλευρικά κανάλια που βασίζονται σε χρονισμό
• Επιθέσεις άρνησης πορτοφολιού μεταξύ μισθωτών μέσω της κατανάλωσης πόρων BigQuery

Συλλογικά, αυτά τα ζητήματα θα μπορούσαν να επιτρέψουν στους επιτιθέμενους να ανακτήσουν, να εισαγάγουν ή να διαγράψουν δεδομένα από υπηρεσίες θυμάτων που λειτουργούν σε περιβάλλοντα Google Cloud.

Ευρεία προβολή σε όλους τους συνδέσμους δεδομένων

Τα τρωτά σημεία έθεταν σε κίνδυνο οργανισμούς που χρησιμοποιούν ένα ευρύ φάσμα ενσωματώσεων δεδομένων του Looker Studio. Το επηρεαζόμενο οικοσύστημα εκτείνεται σε πολλαπλές πλατφόρμες αποθήκευσης και βάσεις δεδομένων που χρησιμοποιούνται συνήθως σε εταιρικά περιβάλλοντα, συμπεριλαμβανομένων των Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL και Google Cloud Storage.

Οποιοσδήποτε οργανισμός βασίζεται σε αυτές τις συνδέσεις στα dashboards του Looker Studio θα μπορούσε ενδεχομένως να έχει επηρεαστεί, καθώς τα τρωτά σημεία επέτρεψαν στους εισβολείς να παραβιάσουν τα όρια των μισθωτών και να αποκτήσουν πρόσβαση σε πόρους που ανήκουν σε διαφορετικά έργα cloud.

Διαδρομές εκμετάλλευσης: Από δημόσιες αναφορές έως έλεγχο βάσεων δεδομένων

Τα σενάρια επίθεσης που περιγράφονται από ερευνητές καταδεικνύουν πώς οι εισβολείς θα μπορούσαν να αξιοποιήσουν τα δημόσια προσβάσιμα dashboards ή να αποκτήσουν πρόσβαση σε ιδιωτικά κοινόχρηστες αναφορές. Μόλις αποκτηθεί η πρόσβαση, κακόβουλοι παράγοντες θα μπορούσαν να εκμεταλλευτούν τα τρωτά σημεία για να καταλάβουν τον έλεγχο συνδεδεμένων βάσεων δεδομένων.

Ένα σενάριο αφορούσε τη σάρωση για δημόσια προσβάσιμες αναφορές του Looker Studio που συνδέονταν με πηγές δεδομένων όπως το BigQuery. Μέσω της εκμετάλλευσης ελαττωμάτων έγχυσης, οι εισβολείς μπορούσαν να εκτελέσουν αυθαίρετα ερωτήματα SQL σε ολόκληρο το έργο cloud του κατόχου, επιτρέποντας την εξαγωγή δεδομένων μεγάλης κλίμακας.

Μια άλλη διαδρομή επίθεσης εκμεταλλεύτηκε ένα λογικό ελάττωμα στον μηχανισμό αντιγραφής αναφορών. Όταν ένα θύμα κοινοποίησε μια αναφορά, είτε δημόσια είτε με συγκεκριμένους χρήστες, και η αναφορά χρησιμοποιούσε μια πηγή δεδομένων που βασίζεται σε JDBC, όπως η PostgreSQL, οι εισβολείς μπορούσαν να αντιγράψουν την αναφορά διατηρώντας παράλληλα τα αποθηκευμένα διαπιστευτήρια του αρχικού κατόχου. Αυτό το ελάττωμα επέτρεπε σε μη εξουσιοδοτημένους χρήστες να εκτελούν ενέργειες όπως τροποποίηση ή διαγραφή πινάκων βάσης δεδομένων.

Οι ερευνητές επέδειξαν επίσης μια τεχνική υψηλής απόδοσης που επιτρέπει την εξαγωγή δεδομένων με ένα κλικ. Σε αυτό το σενάριο, ένα θύμα που άνοιγε μια ειδικά σχεδιασμένη αναφορά πυροδοτούσε κακόβουλη δραστηριότητα προγράμματος περιήγησης που επικοινωνούσε με ένα έργο που ελεγχόταν από τον εισβολέα. Μέσω της ανάλυσης και της ανακατασκευής των αρχείων καταγραφής, ο εισβολέας μπορούσε να ανακατασκευάσει ολόκληρες βάσεις δεδομένων από τα δεδομένα που είχαν καταγραφεί.

Μοντέλο Διαταραγμένης Εμπιστοσύνης: Τα Δικαιώματα Θεατή Στρέφονται Εναντίον της Πλατφόρμας

Τα τρωτά σημεία υπονόμευσαν ουσιαστικά μια βασική αρχή σχεδιασμού του Looker Studio: την υπόθεση ότι οι χρήστες με πρόσβαση σε επίπεδο θεατή δεν μπορούν να ελέγξουν ή να επηρεάσουν τα υποκείμενα δεδομένα.

Εκμεταλλευόμενοι τις αδυναμίες που ανακαλύφθηκαν, οι εισβολείς μπορούσαν να παρακάμψουν αυτό το όριο ασφαλείας και να αλληλεπιδράσουν απευθείας με συνδεδεμένες υπηρεσίες. Αυτή η δυνατότητα άνοιξε την πόρτα σε μη εξουσιοδοτημένη εξαγωγή δεδομένων, χειραγώγηση και πρόσβαση μεταξύ μισθωτών, επηρεάζοντας υπηρεσίες όπως το BigQuery και τα Υπολογιστικά Φύλλα Google.

Παρόλο που τα τρωτά σημεία έχουν πλέον διορθωθεί, τα ευρήματα υπογραμμίζουν τη σημασία του αυστηρού σχεδιασμού ασφαλείας σε πλατφόρμες cloud πολλαπλών μισθωτών, όπου ένα μόνο λογικό ελάττωμα μπορεί να οδηγήσει σε ευρεία έκθεση σε διάφορα περιβάλλοντα.