آسیب‌پذیری‌های LeakyLooker

محققان امنیت سایبری مجموعه‌ای از نه آسیب‌پذیری چند مستأجری را در Google Looker Studio کشف کردند که می‌توانست مهاجمان را قادر سازد تا کوئری‌های SQL دلخواه را علیه پایگاه‌های داده قربانیان اجرا کرده و اطلاعات حساس را از محیط‌های سازمانی که بر روی Google Cloud Platform اجرا می‌شوند، استخراج کنند.

مجموعه این نقص‌ها به طور کلی LeakyLooker نامگذاری شده است. محققان این مشکلات را از طریق افشای مسئولانه در ژوئن 2025 گزارش کردند و از آن زمان تاکنون این آسیب‌پذیری‌ها برطرف شده‌اند. در حال حاضر، هیچ مدرکی مبنی بر سوءاستفاده از این نقاط ضعف در حملات دنیای واقعی وجود ندارد.

تحلیلگران امنیتی هشدار می‌دهند که این نقص‌ها، فرضیات اصلی معماری در پلتفرم را تضعیف می‌کنند و دسته‌ای از حملات ناشناخته را ایجاد می‌کنند که قادر به دستکاری یا استخراج داده‌ها از چندین سرویس ابری هستند.

نه آسیب‌پذیری پشت سطح حمله LeakyLooker

این تحقیق نه نقص مجزا را شناسایی کرد که اجزای مختلف پلتفرم و رابط‌های داده آن را تحت تأثیر قرار می‌دهند. این آسیب‌پذیری‌ها عبارتند از:

• دسترسی غیرمجاز بین مستاجرین از طریق تزریق SQL بدون نیاز به کلیک روی کانکتورهای پایگاه داده
• دسترسی غیرمجاز بین مستاجرین از طریق تزریق SQL بدون کلیک و با استفاده از اعتبارنامه‌های ذخیره‌شده
• تزریق SQL بین مستاجرین که BigQuery را از طریق توابع بومی هدف قرار می‌دهد
• قرار گرفتن در معرض منابع داده بین مستاجران از طریق لینک‌ها
• تزریق SQL بین مستاجران که از طریق پرس‌وجوهای سفارشی روی منبع داده قربانی، Spanner و BigQuery را تحت تأثیر قرار می‌دهد
• تزریق SQL بین مستاجرین از طریق رابط برنامه‌نویسی کاربردی Looker که BigQuery و Spanner را تحت تأثیر قرار می‌دهد.
• نشت داده‌های بین مستاجران از طریق رندر تصویر
• XS-Leak بین مستأجران روی منابع داده دلخواه با استفاده از شمارش فریم و کانال‌های جانبی مبتنی بر زمان‌بندی
• حملات انکار کیف پول متقابل مستاجر از طریق مصرف منابع BigQuery

در مجموع، این مشکلات می‌توانند به مهاجمان اجازه دهند تا داده‌ها را از سرویس‌های قربانی که در محیط‌های Google Cloud فعالیت می‌کنند، بازیابی، وارد یا حذف کنند.

مواجهه گسترده در سراسر رابط‌های داده

این آسیب‌پذیری‌ها، سازمان‌هایی را که از طیف گسترده‌ای از یکپارچه‌سازی‌های داده Looker Studio استفاده می‌کنند، در معرض خطر قرار می‌دهند. اکوسیستم آسیب‌دیده، پلتفرم‌های ذخیره‌سازی و پایگاه‌های داده متعددی را که معمولاً در محیط‌های سازمانی استفاده می‌شوند، از جمله Google Sheets، Google BigQuery، Google Cloud Spanner، PostgreSQL، MySQL و Google Cloud Storage در بر می‌گیرد.

هر سازمانی که به این رابط‌ها در داشبوردهای Looker Studio متکی باشد، می‌تواند به طور بالقوه تحت تأثیر قرار گرفته باشد، زیرا این آسیب‌پذیری‌ها به مهاجمان امکان می‌داد تا از مرزهای مستاجر عبور کرده و به منابع متعلق به پروژه‌های ابری مختلف دسترسی پیدا کنند.

مسیرهای بهره‌برداری: از گزارش‌های عمومی تا کنترل پایگاه داده

سناریوهای حمله‌ای که توسط محققان تشریح شده‌اند، نشان می‌دهند که چگونه مهاجمان می‌توانند از داشبوردهای عمومی یا گزارش‌های خصوصیِ به اشتراک گذاشته شده سوءاستفاده کنند. پس از دسترسی، مهاجمان می‌توانند از آسیب‌پذیری‌ها برای به دست گرفتن کنترل پایگاه‌های داده متصل سوءاستفاده کنند.

یک سناریو شامل اسکن گزارش‌های Looker Studio که به منابع داده‌ای مانند BigQuery متصل هستند و در دسترس عموم قرار دارند، می‌شد. از طریق بهره‌برداری از نقص‌های تزریق، مهاجمان می‌توانند پرس‌وجوهای SQL دلخواه را در کل پروژه ابری مالک اجرا کنند و استخراج داده‌ها در مقیاس بزرگ را امکان‌پذیر سازند.

مسیر حمله‌ی دیگری از یک نقص منطقی در مکانیزم کپی کردن گزارش سوءاستفاده می‌کرد. هنگامی که یک قربانی گزارشی را، چه به صورت عمومی و چه با کاربران خاص، به اشتراک می‌گذاشت و گزارش از یک منبع داده مبتنی بر JDBC مانند PostgreSQL استفاده می‌کرد، مهاجمان می‌توانستند گزارش را کپی کنند و در عین حال اعتبارنامه‌های ذخیره شده‌ی مالک اصلی را حفظ کنند. این نقص به کاربران غیرمجاز اجازه می‌داد تا اقداماتی مانند تغییر یا حذف جداول پایگاه داده را انجام دهند.

محققان همچنین یک تکنیک با تأثیر بالا را نشان دادند که امکان استخراج داده‌ها با یک کلیک را فراهم می‌کند. در این سناریو، قربانی که یک گزارش دستکاری‌شده خاص را باز می‌کرد، فعالیت مرورگر مخربی را فعال می‌کرد که با یک پروژه تحت کنترل مهاجم ارتباط برقرار می‌کرد. از طریق تجزیه و تحلیل و بازسازی گزارش، مهاجم می‌توانست کل پایگاه‌های داده را از داده‌های ضبط‌شده بازسازی کند.

مدل اعتماد شکسته: مجوزهای بیننده علیه پلتفرم استفاده شدند

این آسیب‌پذیری‌ها عملاً یک اصل طراحی اصلی Looker Studio را تضعیف کردند: این فرض که کاربران دارای دسترسی در سطح بیننده نمی‌توانند داده‌های اساسی را کنترل یا تحت تأثیر قرار دهند.

با سوءاستفاده از نقاط ضعف کشف‌شده، مهاجمان می‌توانند از این مرز امنیتی عبور کرده و مستقیماً با سرویس‌های متصل تعامل داشته باشند. این قابلیت، راه را برای استخراج غیرمجاز داده‌ها، دستکاری و دسترسی متقابل فراهم کرد و سرویس‌هایی مانند BigQuery و Google Sheets را تحت تأثیر قرار داد.

اگرچه این آسیب‌پذیری‌ها اکنون برطرف شده‌اند، اما یافته‌ها اهمیت طراحی امنیتی دقیق در پلتفرم‌های ابری چندمستاجری را برجسته می‌کنند، جایی که یک نقص منطقی واحد می‌تواند به افشای گسترده در محیط‌های مختلف منجر شود.