ช่องโหว่ของ LeakyLooker

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้เปิดเผยช่องโหว่ข้ามระบบจำนวน 9 จุดใน Google Looker Studio ซึ่งอาจทำให้ผู้โจมตีสามารถเรียกใช้คำสั่ง SQL ใดๆ ก็ได้กับฐานข้อมูลของเหยื่อ และดึงข้อมูลสำคัญจากสภาพแวดล้อมขององค์กรที่ทำงานบน Google Cloud Platform ได้

ช่องโหว่ทั้งหมดนี้ได้รับการตั้งชื่อรวมกันว่า LeakyLooker นักวิจัยได้รายงานปัญหาเหล่านี้ผ่านการเปิดเผยข้อมูลอย่างมีความรับผิดชอบในเดือนมิถุนายน 2025 และช่องโหว่เหล่านั้นได้รับการแก้ไขแล้ว ในปัจจุบัน ยังไม่มีหลักฐานใดบ่งชี้ว่าช่องโหว่เหล่านี้ถูกนำไปใช้ในการโจมตีในโลกแห่งความเป็นจริง

นักวิเคราะห์ด้านความปลอดภัยเตือนว่า ช่องโหว่ดังกล่าวทำลายสมมติฐานทางสถาปัตยกรรมหลักของแพลตฟอร์ม และก่อให้เกิดการโจมตีรูปแบบใหม่ที่ไม่เคยพบมาก่อน ซึ่งสามารถเปลี่ยนแปลงหรือดึงข้อมูลจากผู้ให้บริการคลาวด์หลายรายได้

ช่องโหว่ทั้งเก้าประการที่อยู่เบื้องหลังพื้นผิวการโจมตีของ LeakyLooker

ผลการวิจัยระบุข้อบกพร่องที่แตกต่างกัน 9 ประการ ซึ่งส่งผลกระทบต่อส่วนประกอบต่างๆ ของแพลตฟอร์มและตัวเชื่อมต่อข้อมูล ข้อบกพร่องเหล่านี้ได้แก่:

• การเข้าถึงโดยไม่ได้รับอนุญาตข้ามผู้เช่าผ่านการโจมตี SQL injection แบบไม่ต้องคลิกบนตัวเชื่อมต่อฐานข้อมูล
• การเข้าถึงโดยไม่ได้รับอนุญาตข้ามผู้เช่าผ่านการโจมตี SQL injection แบบไม่ต้องคลิกโดยใช้ข้อมูลประจำตัวที่จัดเก็บไว้
• การโจมตีแบบ SQL injection ข้ามระบบที่มุ่งเป้าไปที่ BigQuery ผ่านฟังก์ชันเนทีฟ
• การเปิดเผยแหล่งข้อมูลข้ามผู้เช่าผ่านไฮเปอร์ลิงก์
• การโจมตีแบบ SQL injection ข้ามระบบที่ส่งผลกระทบต่อ Spanner และ BigQuery ผ่านการสร้างคำสั่ง SQL แบบกำหนดเองบนแหล่งข้อมูลของผู้เสียหาย
• การโจมตีแบบ SQL injection ข้ามระบบผ่าน API การเชื่อมโยงของ Looker ส่งผลกระทบต่อ BigQuery และ Spanner
• การรั่วไหลของข้อมูลระหว่างผู้ใช้งานผ่านการแสดงผลภาพ
• การรั่วไหลของ XS-Leak ข้ามผู้เช่าบนแหล่งข้อมูลใดๆ โดยใช้การนับเฟรมและช่องทางด้านข้างตามเวลา
• การโจมตีแบบปฏิเสธการเข้าถึงกระเป๋าเงินดิจิทัลข้ามผู้เช่าผ่านการใช้ทรัพยากรของ BigQuery

โดยรวมแล้ว ปัญหาเหล่านี้อาจทำให้ผู้ไม่หวังดีสามารถดึงข้อมูล แทรก หรือลบข้อมูลจากบริการของเหยื่อที่ทำงานอยู่ภายในสภาพแวดล้อมของ Google Cloud ได้

การเปิดเผยข้อมูลอย่างแพร่หลายผ่านตัวเชื่อมต่อข้อมูล

ช่องโหว่ดังกล่าวสร้างความเสี่ยงให้กับองค์กรที่ใช้งานการผสานรวมข้อมูล Looker Studio ในวงกว้าง ระบบนิเวศที่ได้รับผลกระทบครอบคลุมแพลตฟอร์มจัดเก็บข้อมูลและฐานข้อมูลหลายประเภทที่ใช้กันทั่วไปในสภาพแวดล้อมระดับองค์กร รวมถึง Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL และ Google Cloud Storage

องค์กรใดก็ตามที่พึ่งพาตัวเชื่อมต่อเหล่านี้ในแดชบอร์ด Looker Studio อาจได้รับผลกระทบ เนื่องจากช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถข้ามขอบเขตของผู้เช่าและเข้าถึงทรัพยากรที่เป็นของโครงการคลาวด์ต่างๆ ได้

ช่องทางการโจมตี: จากรายงานสาธารณะสู่การควบคุมฐานข้อมูล

สถานการณ์การโจมตีที่นักวิจัยได้อธิบายไว้ แสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากแดชบอร์ดที่เข้าถึงได้โดยสาธารณะ หรือเข้าถึงรายงานที่แชร์กันเป็นการส่วนตัวได้อย่างไร เมื่อเข้าถึงได้แล้ว ผู้ไม่ประสงค์ดีสามารถใช้ช่องโหว่เพื่อเข้าควบคุมฐานข้อมูลที่เชื่อมต่ออยู่ได้

สถานการณ์หนึ่งเกี่ยวข้องกับการสแกนหารายงาน Looker Studio ที่เข้าถึงได้จากภายนอก ซึ่งเชื่อมต่อกับแหล่งข้อมูล เช่น BigQuery โดยการใช้ช่องโหว่การแทรกข้อมูล ผู้โจมตีสามารถเรียกใช้คำสั่ง SQL ใดๆ ก็ได้ในโครงการคลาวด์ทั้งหมดของผู้เป็นเจ้าของ ทำให้สามารถดึงข้อมูลจำนวนมากออกมาได้

อีกหนึ่งช่องทางการโจมตีใช้ประโยชน์จากข้อบกพร่องทางตรรกะในกลไกการคัดลอกรายงาน เมื่อเหยื่อแชร์รายงาน ไม่ว่าจะต่อสาธารณะหรือเฉพาะผู้ใช้บางราย และรายงานนั้นใช้แหล่งข้อมูลแบบ JDBC เช่น PostgreSQL ผู้โจมตีสามารถคัดลอกรายงานได้โดยยังคงรักษาข้อมูลประจำตัวของผู้เป็นเจ้าของเดิมไว้ ข้อบกพร่องนี้ทำให้ผู้ใช้ที่ไม่ได้รับอนุญาตสามารถดำเนินการต่างๆ เช่น การแก้ไขหรือลบตารางในฐานข้อมูลได้

นักวิจัยยังได้สาธิตเทคนิคที่มีประสิทธิภาพสูง ซึ่งช่วยให้สามารถดึงข้อมูลออกมาได้ด้วยการคลิกเพียงครั้งเดียว ในสถานการณ์นี้ เหยื่อที่เปิดรายงานที่สร้างขึ้นเป็นพิเศษจะกระตุ้นกิจกรรมในเบราว์เซอร์ที่เป็นอันตราย ซึ่งจะสื่อสารกับโปรเจกต์ที่ผู้โจมตีควบคุมอยู่ ผ่านการวิเคราะห์และสร้างข้อมูลบันทึกขึ้นใหม่ ผู้โจมตีสามารถสร้างฐานข้อมูลทั้งหมดขึ้นมาใหม่ได้จากข้อมูลที่ถูกดักจับ

โมเดลความไว้วางใจที่พังทลาย: สิทธิ์การเข้าถึงของผู้ดูกลับกลายเป็นผลเสียต่อแพลตฟอร์ม

ช่องโหว่ดังกล่าวได้บั่นทอนหลักการออกแบบที่สำคัญของ Looker Studio อย่างมีประสิทธิภาพ นั่นคือสมมติฐานที่ว่าผู้ใช้ที่มีสิทธิ์เข้าถึงระดับผู้ดูจะไม่สามารถควบคุมหรือมีอิทธิพลต่อข้อมูลพื้นฐานได้

ด้วยการใช้ประโยชน์จากจุดอ่อนที่ค้นพบ ผู้โจมตีสามารถหลีกเลี่ยงขอบเขตความปลอดภัยนี้และโต้ตอบกับบริการที่เชื่อมต่อได้โดยตรง ความสามารถนี้เปิดช่องทางให้เกิดการดึงข้อมูล การจัดการข้อมูล และการเข้าถึงข้ามผู้ใช้โดยไม่ได้รับอนุญาต ซึ่งส่งผลกระทบต่อบริการต่างๆ เช่น BigQuery และ Google Sheets

แม้ว่าช่องโหว่เหล่านั้นจะได้รับการแก้ไขแล้ว แต่ผลการวิจัยเน้นย้ำถึงความสำคัญของการออกแบบระบบรักษาความปลอดภัยที่เข้มงวดในแพลตฟอร์มคลาวด์แบบหลายผู้เช่า ซึ่งข้อผิดพลาดเชิงตรรกะเพียงจุดเดียวอาจลุกลามไปสู่การเปิดเผยข้อมูลในวงกว้างข้ามสภาพแวดล้อมได้