Các lỗ hổng bảo mật LeakyLooker

Các nhà nghiên cứu an ninh mạng đã phát hiện ra chín lỗ hổng bảo mật đa tài khoản trong Google Looker Studio, cho phép kẻ tấn công thực thi các truy vấn SQL tùy ý đối với cơ sở dữ liệu của nạn nhân và trích xuất thông tin nhạy cảm từ môi trường tổ chức đang chạy trên Google Cloud Platform.

Tập hợp các lỗ hổng này được đặt tên chung là LeakyLooker. Các nhà nghiên cứu đã báo cáo các vấn đề này thông qua việc công khai có trách nhiệm vào tháng 6 năm 2025, và các lỗ hổng đã được khắc phục kể từ đó. Hiện tại, không có bằng chứng nào cho thấy những điểm yếu này đã bị khai thác trong các cuộc tấn công thực tế.

Các nhà phân tích bảo mật cảnh báo rằng những lỗ hổng này làm suy yếu các giả định kiến trúc cốt lõi trong nền tảng và tạo ra một loại tấn công chưa từng được nhận biết trước đây, có khả năng thao túng hoặc trích xuất dữ liệu trên nhiều máy chủ đám mây khác nhau.

Chín lỗ hổng bảo mật đằng sau bề mặt tấn công LeakyLooker

Nghiên cứu đã xác định chín lỗ hổng khác nhau ảnh hưởng đến các thành phần khác nhau của nền tảng và các trình kết nối dữ liệu của nó. Các lỗ hổng này bao gồm:

• Truy cập trái phép giữa các người dùng khác nhau thông qua tấn công SQL injection không cần nhấp chuột trên các trình kết nối cơ sở dữ liệu.
• Truy cập trái phép giữa các người dùng thông qua tấn công SQL injection không cần nhấp chuột bằng cách sử dụng thông tin đăng nhập đã lưu.
• Tấn công SQL injection giữa các người dùng nhắm vào BigQuery thông qua các hàm gốc.
• Việc lộ nguồn dữ liệu giữa các người dùng thông qua các siêu liên kết
• Lỗ hổng tấn công SQL injection giữa các hệ thống Spanner và BigQuery thông qua các truy vấn tùy chỉnh trên nguồn dữ liệu của nạn nhân.
• Lỗ hổng tấn công SQL injection giữa các hệ thống khác nhau thông qua API liên kết Looker, ảnh hưởng đến BigQuery và Spanner.
• Rò rỉ dữ liệu giữa các người dùng thông qua quá trình kết xuất hình ảnh
• Lỗ hổng XS-Leak giữa các người dùng trên các nguồn dữ liệu tùy ý bằng cách sử dụng đếm khung và các kênh phụ dựa trên thời gian.
• Tấn công từ chối ví điện tử giữa các người dùng thông qua việc tiêu thụ tài nguyên BigQuery

Nhìn chung, những vấn đề này có thể cho phép kẻ thù truy xuất, chèn hoặc xóa dữ liệu từ các dịch vụ của nạn nhân hoạt động trong môi trường Google Cloud.

Sự phơi nhiễm lan rộng trên các kết nối dữ liệu

Các lỗ hổng này gây rủi ro cho các tổ chức sử dụng nhiều tích hợp dữ liệu của Looker Studio. Hệ sinh thái bị ảnh hưởng bao gồm nhiều nền tảng lưu trữ và cơ sở dữ liệu thường được sử dụng trong môi trường doanh nghiệp, bao gồm Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL và Google Cloud Storage.

Bất kỳ tổ chức nào dựa vào các trình kết nối này trong bảng điều khiển Looker Studio đều có nguy cơ bị ảnh hưởng, vì các lỗ hổng cho phép kẻ tấn công vượt qua ranh giới giữa các tenant và truy cập vào các tài nguyên thuộc các dự án đám mây khác nhau.

Các lộ trình khai thác: Từ báo cáo công khai đến kiểm soát cơ sở dữ liệu

Các kịch bản tấn công được các nhà nghiên cứu nêu ra cho thấy cách kẻ tấn công có thể lợi dụng các bảng điều khiển công khai hoặc truy cập vào các báo cáo được chia sẻ riêng tư. Sau khi có được quyền truy cập, các tác nhân độc hại có thể khai thác các lỗ hổng để chiếm quyền kiểm soát các cơ sở dữ liệu được kết nối.

Một kịch bản liên quan đến việc quét các báo cáo Looker Studio có thể truy cập công khai được kết nối với các nguồn dữ liệu như BigQuery. Thông qua việc khai thác các lỗ hổng tấn công chèn mã, kẻ tấn công có thể thực thi các truy vấn SQL tùy ý trên toàn bộ dự án đám mây của chủ sở hữu, cho phép trích xuất dữ liệu quy mô lớn.

Một phương thức tấn công khác khai thác lỗ hổng logic trong cơ chế sao chép báo cáo. Khi nạn nhân chia sẻ một báo cáo, dù công khai hay với người dùng cụ thể, và báo cáo đó sử dụng nguồn dữ liệu dựa trên JDBC như PostgreSQL, kẻ tấn công có thể sao chép báo cáo trong khi vẫn giữ nguyên thông tin đăng nhập được lưu trữ của chủ sở hữu ban đầu. Lỗ hổng này cho phép người dùng trái phép thực hiện các hành động như sửa đổi hoặc xóa bảng cơ sở dữ liệu.

Các nhà nghiên cứu cũng đã chứng minh một kỹ thuật có tác động mạnh mẽ cho phép đánh cắp dữ liệu chỉ bằng một cú nhấp chuột. Trong kịch bản này, nạn nhân khi mở một báo cáo được tạo ra đặc biệt đã kích hoạt hoạt động trình duyệt độc hại, từ đó liên lạc với một dự án do kẻ tấn công điều khiển. Thông qua phân tích và tái tạo nhật ký, kẻ tấn công có thể xây dựng lại toàn bộ cơ sở dữ liệu từ dữ liệu đã thu thập được.

Mô hình niềm tin bị phá vỡ: Quyền của người xem bị sử dụng chống lại nền tảng.

Các lỗ hổng này đã làm suy yếu một nguyên tắc thiết kế cốt lõi của Looker Studio: giả định rằng người dùng có quyền truy cập ở cấp độ người xem không thể kiểm soát hoặc tác động đến dữ liệu cơ bản.

Bằng cách khai thác các điểm yếu đã phát hiện, kẻ tấn công có thể vượt qua rào cản bảo mật này và tương tác trực tiếp với các dịch vụ được kết nối. Khả năng này đã mở ra cánh cửa cho việc trích xuất, thao túng dữ liệu trái phép và truy cập xuyên suốt các hệ thống, ảnh hưởng đến các dịch vụ như BigQuery và Google Sheets.

Mặc dù các lỗ hổng hiện đã được vá, nhưng những phát hiện này nhấn mạnh tầm quan trọng của việc thiết kế bảo mật chặt chẽ trong các nền tảng đám mây đa người dùng, nơi một lỗi logic duy nhất có thể dẫn đến việc bị phơi nhiễm trên diện rộng trong nhiều môi trường khác nhau.