LeakyLooker-haavoittuvuudet

Kyberturvallisuustutkijat ovat paljastaneet yhdeksän Google Looker Studion haavoittuvuutta, jotka ovat voineet mahdollistaa hyökkääjien suorittaa mielivaltaisia SQL-kyselyitä uhrien tietokantoja vastaan ja poimia arkaluonteisia tietoja Google Cloud Platformilla toimivista organisaatioympäristöistä.

Kokoelmalle heikkouksia on annettu nimi LeakyLooker. Tutkijat raportoivat ongelmista vastuullisen julkistamisen kautta kesäkuussa 2025, ja haavoittuvuudet on sittemmin korjattu. Tällä hetkellä ei ole näyttöä siitä, että näitä heikkouksia olisi hyödynnetty oikeissa hyökkäyksissä.

Tietoturva-analyytikot varoittavat, että haavoittuvuudet heikentävät alustan keskeisiä arkkitehtuurioletuksia ja tuovat mukanaan aiemmin tunnistamattoman hyökkäystyypin, joka kykenee manipuloimaan tai poimimaan tietoja useiden pilvivuokralaisten välillä.

Yhdeksän haavoittuvuutta LeakyLooker-hyökkäyspinnan takana

Tutkimuksessa tunnistettiin yhdeksän erillistä haavoittuvuutta, jotka vaikuttivat alustan eri osiin ja sen dataliittimiin. Näitä haavoittuvuuksia ovat:

• Luvaton pääsy vuokralaisten välillä ilman klikkauksia SQL-injektiolla tietokantaliittimissä
• Luvaton pääsy vuokralaisten välillä ilman klikkauksia SQL-injektiolla tallennettujen tunnistetietojen avulla
• Ristikkäis-SQL-injektio BigQueryyn natiivifunktioiden avulla
• Vuokralaisten välisen tietolähteen näkyvyys hyperlinkkien kautta
• Vuokraajien välinen SQL-injektio, joka vaikuttaa Spanneriin ja BigQueryyn mukautettujen kyselyiden kautta uhrin tietolähteessä
• Ristivuokralaisten SQL-injektio Looker-linkitys-API:n kautta, mikä vaikuttaa BigQueryyn ja Spanneriin
• Vuokralaisten välinen tietovuoto kuvan renderöinnin kautta
• Ristikkäisvuokralaisten XS-vuoto mielivaltaisissa tietolähteissä käyttäen kehyslaskentaa ja ajoituspohjaisia sivukanavia
• BigQuery-resurssien kulutuksen kautta tapahtuvat ristiinlaskeutumishyökkäykset

Yhdessä nämä ongelmat voivat antaa hyökkääjille mahdollisuuden hakea, lisätä tai poistaa tietoja Google Cloud -ympäristöissä toimivista uhripalveluista.

Laajaa altistumista dataliittimissä

Haavoittuvuudet aiheuttivat riskejä organisaatioille, jotka käyttivät monenlaisia Looker Studio -dataintegraatioita. Haavoittuvuus ulottuu useille tallennusalustoille ja tietokannoille, joita käytetään yleisesti yritysympäristöissä, mukaan lukien Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL ja Google Cloud Storage.

Kaikki Looker Studion kojelaudoissa näihin liittimiin luottavat organisaatiot ovat saattaneet joutua alttiiksi haavoittuvuuksille, sillä hyökkääjät ovat päässeet ylittämään vuokralaisten rajoja ja käyttämään eri pilviprojekteihin kuuluvia resursseja.

Hyödyntämispolut: Julkisista raporteista tietokannan hallintaan

Tutkijoiden hahmottelemat hyökkäysskenaariot osoittavat, kuinka hyökkääjät voivat hyödyntää julkisesti saatavilla olevia koontinäyttöjä tai saada pääsyn yksityisesti jaettuihin raportteihin. Kun pääsy on saatu, pahantahtoiset toimijat voivat hyödyntää haavoittuvuuksia ottaakseen hallintaansa yhdistetyt tietokannat.

Yhdessä skenaariossa skannattiin julkisesti saatavilla olevia Looker Studio -raportteja, jotka oli yhdistetty tietolähteisiin, kuten BigQuery. Hyödyntämällä injektiovirheitä hyökkääjät saattoivat suorittaa mielivaltaisia SQL-kyselyitä omistajan koko pilviprojektissa, mikä mahdollisti laajamittaisen tiedon poiminnan.

Toinen hyökkäystapa hyödynsi raporttien kopiointimekanismin logiikkavirhettä. Kun uhri jakoi raportin joko julkisesti tai tiettyjen käyttäjien kanssa ja raportti käytti JDBC-pohjaista tietolähdettä, kuten PostgreSQL:ää, hyökkääjät pystyivät kopioimaan raportin säilyttäen samalla alkuperäisen omistajan tallennetut tunnistetiedot. Tämä virhe mahdollisti luvattomien käyttäjien suorittaa toimintoja, kuten muokata tai poistaa tietokantataulukoita.

Tutkijat esittelivät myös tehokkaan tekniikan, joka mahdollisti tiedonsiirron yhdellä napsautuksella. Tässä skenaariossa uhri, joka avasi erityisesti laaditun raportin, käynnisti haitallisen selaintoiminnan, joka kommunikoi hyökkääjän hallitseman projektin kanssa. Lokitietojen analysoinnin ja rekonstruoinnin avulla hyökkääjä pystyi rakentamaan kokonaisia tietokantoja uudelleen siepatuista tiedoista.

Rikkoutunut luottamusmalli: Katselijoiden oikeudet kääntyivät alustaa vastaan

Haavoittuvuudet heikensivät tehokkaasti Looker Studion keskeistä suunnitteluperiaatetta: oletusta, että katsojatason käyttöoikeuksilla varustetut käyttäjät eivät voi hallita tai vaikuttaa taustalla olevaan dataan.

Hyödyntämällä havaittuja heikkouksia hyökkääjät pystyivät ohittamaan tämän tietoturvarajan ja olemaan suoraan vuorovaikutuksessa yhdistettyjen palveluiden kanssa. Tämä ominaisuus avasi oven luvattomalle tiedonkeruulle, manipuloinnille ja eri vuokralaisten väliselle käytölle, mikä vaikutti palveluihin, kuten BigQuery ja Google Sheets.

Vaikka haavoittuvuudet on nyt korjattu, löydökset korostavat tiukan tietoturvasuunnittelun merkitystä usean käyttäjän pilvialustoilla, joilla yksittäinen logiikkavirhe voi aiheuttaa laajan altistuksen eri ympäristöissä.