ចំណុចខ្សោយ LeakyLooker

ក្រុមអ្នកស្រាវជ្រាវសន្តិសុខតាមអ៊ីនធឺណិតបានបង្ហាញពីចំណុចខ្សោយចំនួនប្រាំបួននៅក្នុង Google Looker Studio ដែលអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រតិបត្តិសំណួរ SQL ដោយបំពានប្រឆាំងនឹងមូលដ្ឋានទិន្នន័យរបស់ជនរងគ្រោះ និងទាញយកព័ត៌មានរសើបពីបរិស្ថានអង្គការដែលកំពុងដំណើរការលើ Google Cloud Platform។

ការប្រមូលផ្តុំនៃចំណុចខ្សោយទាំងនេះត្រូវបានគេដាក់ឈ្មោះរួមគ្នាថា LeakyLooker។ ក្រុមអ្នកស្រាវជ្រាវបានរាយការណ៍ពីបញ្ហាទាំងនេះតាមរយៈការបង្ហាញព័ត៌មានដែលមានការទទួលខុសត្រូវនៅក្នុងខែមិថុនា ឆ្នាំ២០២៥ ហើយចំណុចខ្សោយទាំងនោះត្រូវបានជួសជុលចាប់តាំងពីពេលនោះមក។ បច្ចុប្បន្ននេះ មិនមានភស្តុតាងណាមួយដែលបង្ហាញថាចំណុចខ្សោយទាំងនេះត្រូវបានគេកេងប្រវ័ញ្ចនៅក្នុងការវាយប្រហារក្នុងពិភពពិតនោះទេ។

អ្នកវិភាគសន្តិសុខព្រមានថា ចំណុចខ្វះខាតទាំងនេះធ្វើឱ្យខូចដល់សម្មតិកម្មស្ថាបត្យកម្មស្នូលនៅក្នុងវេទិកា និងណែនាំប្រភេទនៃការវាយប្រហារដែលមិនធ្លាប់មានការទទួលស្គាល់ពីមុនមក ដែលមានសមត្ថភាពរៀបចំ ឬទាញយកទិន្នន័យនៅទូទាំងអ្នកជួល cloud ច្រើន។

ចំណុចខ្សោយទាំងប្រាំបួននៅពីក្រោយផ្ទៃវាយប្រហារ LeakyLooker

ការស្រាវជ្រាវបានកំណត់អត្តសញ្ញាណចំណុចខ្វះខាតចំនួនប្រាំបួនដែលប៉ះពាល់ដល់សមាសធាតុផ្សេងៗគ្នានៃវេទិកា និងឧបករណ៍ភ្ជាប់ទិន្នន័យរបស់វា។ ចំណុចខ្វះខាតទាំងនេះរួមមាន៖

• ការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាតពីអ្នកជួលឆ្លងកាត់តាមរយៈការចាក់ SQL ដោយមិនចុចសូន្យលើឧបករណ៍ភ្ជាប់មូលដ្ឋានទិន្នន័យ
• ការចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាតពីអ្នកជួលឆ្លងកាត់តាមរយៈការចាក់ SQL ដោយមិនចុចសូន្យដោយប្រើព័ត៌មានសម្ងាត់ដែលបានរក្សាទុក
• ការចាក់ SQL ឆ្លងអ្នកជួលដែលកំណត់គោលដៅ BigQuery តាមរយៈមុខងារដើម
• ការលាតត្រដាងប្រភពទិន្នន័យឆ្លងអ្នកជួលតាមរយៈតំណភ្ជាប់
• ការចាក់ SQL ឆ្លងអ្នកជួលដែលប៉ះពាល់ដល់ Spanner និង BigQuery តាមរយៈសំណួរផ្ទាល់ខ្លួនលើប្រភពទិន្នន័យរបស់ជនរងគ្រោះ
• ការចាក់ SQL ឆ្លងអ្នកជួលតាមរយៈ API ភ្ជាប់ Looker ដែលប៉ះពាល់ដល់ BigQuery និង Spanner
• ការលេចធ្លាយទិន្នន័យឆ្លងអ្នកជួលតាមរយៈការបង្ហាញរូបភាព
• ការលេចធ្លាយ XS-Leak ឆ្លងអ្នកជួលលើប្រភពទិន្នន័យតាមអំពើចិត្តដោយប្រើការរាប់ស៊ុម និងឆានែលចំហៀងផ្អែកលើពេលវេលា
• ការវាយប្រហារ denial-of-wallet ឆ្លងអ្នកជួលតាមរយៈការប្រើប្រាស់ធនធាន BigQuery

ជារួម បញ្ហាទាំងនេះអាចអនុញ្ញាតឱ្យសត្រូវទាញយក បញ្ចូល ឬលុបទិន្នន័យចេញពីសេវាកម្មជនរងគ្រោះដែលដំណើរការក្នុងបរិស្ថាន Google Cloud។

ការប៉ះពាល់យ៉ាងទូលំទូលាយនៅទូទាំងឧបករណ៍ភ្ជាប់ទិន្នន័យ

ចំណុចខ្សោយទាំងនេះបានបង្កហានិភ័យដល់អង្គការនានាដែលប្រើប្រាស់ការរួមបញ្ចូលទិន្នន័យ Looker Studio ជាច្រើន។ ប្រព័ន្ធអេកូឡូស៊ីដែលរងផលប៉ះពាល់គ្របដណ្តប់លើវេទិកាផ្ទុកទិន្នន័យ និងមូលដ្ឋានទិន្នន័យជាច្រើនដែលត្រូវបានគេប្រើជាទូទៅនៅក្នុងបរិយាកាសសហគ្រាស រួមមាន Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL និង Google Cloud Storage។

អង្គការណាមួយដែលពឹងផ្អែកលើឧបករណ៍ភ្ជាប់ទាំងនេះនៅក្នុងផ្ទាំងគ្រប់គ្រង Looker Studio អាចរងផលប៉ះពាល់ ដោយសារភាពងាយរងគ្រោះទាំងនេះអនុញ្ញាតឱ្យអ្នកវាយប្រហារឆ្លងកាត់ព្រំដែនអ្នកជួល និងចូលប្រើធនធានដែលជាកម្មសិទ្ធិរបស់គម្រោង cloud ផ្សេងៗគ្នា។

ផ្លូវកេងប្រវ័ញ្ច៖ ពីរបាយការណ៍សាធារណៈរហូតដល់ការគ្រប់គ្រងមូលដ្ឋានទិន្នន័យ

សេណារីយ៉ូវាយប្រហារដែលបានគូសបញ្ជាក់ដោយអ្នកស្រាវជ្រាវបង្ហាញពីរបៀបដែលអ្នកវាយប្រហារអាចទាញយកអត្ថប្រយោជន៍ពីផ្ទាំងគ្រប់គ្រងដែលអាចចូលដំណើរការបានជាសាធារណៈ ឬទទួលបានការចូលប្រើរបាយការណ៍ដែលចែករំលែកជាឯកជន។ នៅពេលដែលការចូលប្រើត្រូវបានទទួល ជនល្មើសដែលមានគំនិតអាក្រក់អាចទាញយកប្រយោជន៍ពីភាពងាយរងគ្រោះដើម្បីដណ្តើមយកការគ្រប់គ្រងមូលដ្ឋានទិន្នន័យដែលបានភ្ជាប់។

សេណារីយ៉ូមួយពាក់ព័ន្ធនឹងការស្កេនរករបាយការណ៍ Looker Studio ដែលអាចចូលមើលបានជាសាធារណៈ ដែលភ្ជាប់ទៅប្រភពទិន្នន័យដូចជា BigQuery។ តាមរយៈការកេងប្រវ័ញ្ចចំណុចខ្វះខាតនៃការចាក់បញ្ចូល អ្នកវាយប្រហារអាចប្រតិបត្តិសំណួរ SQL ដោយបំពាននៅទូទាំងគម្រោង cloud ទាំងមូលរបស់ម្ចាស់ ដែលអាចឱ្យមានការទាញយកទិន្នន័យទ្រង់ទ្រាយធំ។

ផ្លូវវាយប្រហារមួយទៀតបានទាញយកប្រយោជន៍ពីចំណុចខ្វះខាតតក្កវិជ្ជានៅក្នុងយន្តការចម្លងរបាយការណ៍។ នៅពេលដែលជនរងគ្រោះចែករំលែករបាយការណ៍មួយ ទាំងជាសាធារណៈ ឬជាមួយអ្នកប្រើប្រាស់ជាក់លាក់ ហើយរបាយការណ៍បានប្រើប្រភពទិន្នន័យដែលមានមូលដ្ឋានលើ JDBC ដូចជា PostgreSQL អ្នកវាយប្រហារអាចចម្លងរបាយការណ៍នោះ ខណៈពេលដែលរក្សាព័ត៌មានសម្ងាត់ដែលបានរក្សាទុករបស់ម្ចាស់ដើម។ ចំណុចខ្វះខាតនេះអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ដែលគ្មានការអនុញ្ញាតអនុវត្តសកម្មភាពដូចជាការកែប្រែ ឬលុបតារាងមូលដ្ឋានទិន្នន័យ។

ក្រុមអ្នកស្រាវជ្រាវក៏បានបង្ហាញពីបច្ចេកទេសដែលមានផលប៉ះពាល់ខ្ពស់ដែលអាចឱ្យមានការលួចចូលទិន្នន័យដោយចុចតែម្តង។ នៅក្នុងសេណារីយ៉ូនេះ ជនរងគ្រោះដែលបើករបាយការណ៍ដែលបង្កើតឡើងជាពិសេសបានបង្កឱ្យមានសកម្មភាពកម្មវិធីរុករកដែលមានគំនិតអាក្រក់ដែលបានទំនាក់ទំនងជាមួយគម្រោងដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារ។ តាមរយៈការវិភាគកំណត់ហេតុ និងការកសាងឡើងវិញ អ្នកវាយប្រហារអាចកសាងមូលដ្ឋានទិន្នន័យទាំងមូលឡើងវិញពីទិន្នន័យដែលចាប់យកបាន។

គំរូទំនុកចិត្តដែលខូច៖ ការអនុញ្ញាតរបស់អ្នកមើលត្រូវបានបិទប្រឆាំងនឹងវេទិកា

ចំណុចខ្សោយទាំងនេះបានធ្វើឱ្យខូចដល់គោលការណ៍រចនាស្នូលរបស់ Looker Studio យ៉ាងមានប្រសិទ្ធភាព៖ ការសន្មត់ថាអ្នកប្រើប្រាស់ដែលមានសិទ្ធិចូលប្រើប្រាស់កម្រិតអ្នកមើលមិនអាចគ្រប់គ្រង ឬមានឥទ្ធិពលលើទិន្នន័យមូលដ្ឋានបានទេ។

តាមរយៈការកេងប្រវ័ញ្ចចំណុចខ្សោយដែលបានរកឃើញ អ្នកវាយប្រហារអាចរំលងព្រំដែនសុវត្ថិភាពនេះ ហើយធ្វើអន្តរកម្មដោយផ្ទាល់ជាមួយសេវាកម្មដែលបានភ្ជាប់។ សមត្ថភាពនេះបានបើកទ្វារឱ្យមានការទាញយកទិន្នន័យ ការរៀបចំ និងការចូលប្រើឆ្លងអ្នកជួលដោយគ្មានការអនុញ្ញាត ដែលប៉ះពាល់ដល់សេវាកម្មដូចជា BigQuery និង Google Sheets។

ទោះបីជាចំណុចខ្សោយទាំងនេះត្រូវបានជួសជុលរួចហើយក៏ដោយ ការរកឃើញនេះបង្ហាញពីសារៈសំខាន់នៃការរចនាសុវត្ថិភាពយ៉ាងម៉ត់ចត់នៅក្នុងវេទិកា cloud ដែលមានអ្នកជួលច្រើន ដែលចំណុចខ្សោយតក្កវិជ្ជាតែមួយអាចធ្លាក់ចូលទៅក្នុងការប៉ះពាល់ឆ្លងបរិស្ថានយ៉ាងទូលំទូលាយ។