LeakyLooker जोखिमहरू
साइबरसुरक्षा अनुसन्धानकर्ताहरूले गुगल लुकर स्टुडियोमा नौ क्रस-टेनेन्ट कमजोरीहरूको सेट पत्ता लगाएका छन् जसले आक्रमणकारीहरूलाई पीडितहरूको डाटाबेस विरुद्ध मनमानी SQL प्रश्नहरू कार्यान्वयन गर्न र गुगल क्लाउड प्लेटफर्ममा चलिरहेको संगठनात्मक वातावरणबाट संवेदनशील जानकारी निकाल्न सक्षम बनाउन सक्छ।
कमजोरीहरूको संग्रहलाई सामूहिक रूपमा LeakyLooker नाम दिइएको छ। अनुसन्धानकर्ताहरूले जुन २०२५ मा जिम्मेवार खुलासा मार्फत समस्याहरू रिपोर्ट गरे, र त्यसपछि कमजोरीहरूलाई सुधार गरिएको छ। हाल, वास्तविक-विश्व आक्रमणहरूमा यी कमजोरीहरूको शोषण गरिएको संकेत गर्ने कुनै प्रमाण छैन।
सुरक्षा विश्लेषकहरूले चेतावनी दिन्छन् कि त्रुटिहरूले प्लेटफर्ममा मुख्य वास्तुकला धारणाहरूलाई कमजोर बनाउँछन् र धेरै क्लाउड भाडामा लिनेहरूमा डेटा हेरफेर गर्न वा निकाल्न सक्षम आक्रमणहरूको पहिले अपरिचित वर्ग परिचय गराउँछन्।
सामग्रीको तालिका
LeakyLooker आक्रमण सतह पछाडिका नौ जोखिमहरू
अनुसन्धानले प्लेटफर्मका विभिन्न घटकहरू र यसको डेटा कनेक्टरहरूलाई असर गर्ने नौ विशिष्ट त्रुटिहरू पहिचान गर्यो। यी कमजोरीहरूमा समावेश छन्:
- डाटाबेस कनेक्टरहरूमा शून्य-क्लिक SQL इंजेक्शन मार्फत क्रस-टेनेन्ट अनधिकृत पहुँच
- भण्डारण गरिएका प्रमाणहरू प्रयोग गरेर शून्य-क्लिक SQL इंजेक्शन मार्फत क्रस-टेनेन्ट अनधिकृत पहुँच
- नेटिभ प्रकार्यहरू मार्फत BigQuery लाई लक्षित गर्दै क्रस-टेनेन्ट SQL इंजेक्शन
- हाइपरलिङ्कहरू मार्फत क्रस-टेनेन्ट डेटा स्रोत एक्सपोजर
- पीडितको डेटा स्रोतमा अनुकूलन प्रश्नहरू मार्फत स्प्यानर र बिगक्वेरीलाई असर गर्ने क्रस-टेनेन्ट SQL इंजेक्शन।
- लुकर लिङ्किङ API मार्फत क्रस-टेनेन्ट SQL इन्जेक्सन, BigQuery र Spanner लाई असर गर्छ
- छवि रेन्डरिङ मार्फत क्रस-टेनेन्ट डेटा चुहावट
- फ्रेम गणना र समय-आधारित साइड च्यानलहरू प्रयोग गरेर मनमानी डेटा स्रोतहरूमा क्रस-टेनेन्ट XS-चुहावट
- BigQuery स्रोत खपत मार्फत क्रस-टेनेन्ट डिनायल-अफ-वालेट आक्रमणहरू
सामूहिक रूपमा, यी समस्याहरूले विरोधीहरूलाई गुगल क्लाउड वातावरण भित्र सञ्चालन हुने पीडित सेवाहरूबाट डेटा पुन: प्राप्त गर्न, सम्मिलित गर्न वा मेटाउन अनुमति दिन सक्छ।
डेटा कनेक्टरहरूमा व्यापक एक्सपोजर
लुकर स्टुडियो डेटा एकीकरणको विस्तृत दायरा प्रयोग गर्ने संस्थाहरूका लागि जोखिमहरू खडा भएका थिए। प्रभावित इकोसिस्टमले गुगल पानाहरू, गुगल बिगक्वेरी, गुगल क्लाउड स्प्यानर, पोस्टग्रेएसक्यूएल, माइएसक्यूएल, र गुगल क्लाउड भण्डारण सहित इन्टरप्राइज वातावरणमा सामान्यतया प्रयोग हुने धेरै भण्डारण प्लेटफर्महरू र डाटाबेसहरू फैलाउँछ।
लुकर स्टुडियो ड्यासबोर्डहरूमा यी कनेक्टरहरूमा भर पर्ने कुनै पनि संस्था सम्भावित रूपमा प्रभावित हुन सक्छ, किनकि कमजोरीहरूले आक्रमणकारीहरूलाई भाडामा लिने सीमाहरू पार गर्न र विभिन्न क्लाउड परियोजनाहरूसँग सम्बन्धित स्रोतहरू पहुँच गर्न सक्षम बनायो।
शोषण मार्गहरू: सार्वजनिक रिपोर्टहरू देखि डाटाबेस नियन्त्रण सम्म
अनुसन्धानकर्ताहरूले उल्लिखित आक्रमण परिदृश्यहरूले आक्रमणकारीहरूले सार्वजनिक रूपमा पहुँचयोग्य ड्यासबोर्डहरू कसरी प्रयोग गर्न सक्छन् वा निजी रूपमा साझा गरिएका रिपोर्टहरूमा पहुँच प्राप्त गर्न सक्छन् भनेर देखाउँछन्। एक पटक पहुँच प्राप्त भएपछि, दुर्भावनापूर्ण व्यक्तिहरूले जडान गरिएका डाटाबेसहरूको नियन्त्रण कब्जा गर्न कमजोरीहरूको फाइदा उठाउन सक्छन्।
एउटा परिदृश्यमा BigQuery जस्ता डेटा स्रोतहरूसँग जोडिएका सार्वजनिक रूपमा पहुँचयोग्य लुकर स्टुडियो रिपोर्टहरूको स्क्यानिङ समावेश थियो। इंजेक्शन त्रुटिहरूको शोषण मार्फत, आक्रमणकारीहरूले मालिकको सम्पूर्ण क्लाउड परियोजनामा मनमानी SQL क्वेरीहरू कार्यान्वयन गर्न सक्थे, जसले गर्दा ठूलो मात्रामा डेटा निकासी सक्षम हुन्थ्यो।
अर्को आक्रमण मार्गले रिपोर्ट-प्रतिलिपि गर्ने संयन्त्रमा रहेको तार्किक त्रुटिको शोषण गर्यो। जब पीडितले सार्वजनिक रूपमा वा विशिष्ट प्रयोगकर्ताहरूसँग रिपोर्ट साझा गर्यो, र रिपोर्टले PostgreSQL जस्ता JDBC-आधारित डेटा स्रोत प्रयोग गर्यो, आक्रमणकारीहरूले मूल मालिकको भण्डारण गरिएका प्रमाणहरू कायम राख्दै रिपोर्टको नक्कल गर्न सक्थे। यो त्रुटिले अनधिकृत प्रयोगकर्ताहरूलाई डाटाबेस तालिकाहरू परिमार्जन गर्ने वा मेटाउने जस्ता कार्यहरू गर्न अनुमति दियो।
अनुसन्धानकर्ताहरूले एक-क्लिक डेटा एक्सफिल्टरेशन सक्षम पार्ने उच्च-प्रभाव प्रविधि पनि प्रदर्शन गरे। यस परिदृश्यमा, विशेष रूपमा तयार पारिएको रिपोर्ट खोल्ने पीडितले आक्रमणकारी-नियन्त्रित परियोजनासँग सञ्चार गर्ने दुर्भावनापूर्ण ब्राउजर गतिविधिलाई ट्रिगर गर्यो। लग विश्लेषण र पुनर्निर्माण मार्फत, आक्रमणकारीले क्याप्चर गरिएको डेटाबाट सम्पूर्ण डाटाबेसहरू पुनर्निर्माण गर्न सक्छ।
टुटेको विश्वास मोडेल: दर्शकको अनुमति प्लेटफर्मको विरुद्धमा पर्यो
कमजोरीहरूले लुकर स्टुडियोको मुख्य डिजाइन सिद्धान्तलाई प्रभावकारी रूपमा कमजोर बनायो: दर्शक-स्तर पहुँच भएका प्रयोगकर्ताहरूले अन्तर्निहित डेटा नियन्त्रण वा प्रभाव पार्न सक्दैनन् भन्ने धारणा।
पत्ता लागेका कमजोरीहरूको फाइदा उठाएर, आक्रमणकारीहरूले यो सुरक्षा सीमा पार गर्न र जडान गरिएका सेवाहरूसँग प्रत्यक्ष अन्तरक्रिया गर्न सक्थे। यो क्षमताले अनधिकृत डेटा निकासी, हेरफेर, र क्रस-टेनेन्ट पहुँचको ढोका खोल्यो, जसले BigQuery र Google Sheets जस्ता सेवाहरूलाई असर गर्यो।
यद्यपि कमजोरीहरू अब प्याच गरिएको छ, निष्कर्षहरूले बहु-भाडामा लिने क्लाउड प्लेटफर्महरूमा कठोर सुरक्षा डिजाइनको महत्त्वलाई प्रकाश पार्छ, जहाँ एकल तर्क त्रुटि व्यापक क्रस-वातावरण जोखिममा पर्न सक्छ।
