Zraniteľnosti LeakyLooker

Výskumníci v oblasti kybernetickej bezpečnosti odhalili súbor deviatich zraniteľností typu cross-tenant v aplikácii Google Looker Studio, ktoré mohli útočníkom umožniť vykonávať ľubovoľné SQL dotazy proti databázam obetí a extrahovať citlivé informácie z organizačných prostredí bežiacich na platforme Google Cloud Platform.

Súbor chýb dostal spoločný názov LeakyLooker. Výskumníci nahlásili problémy prostredníctvom zodpovedného zverejňovania informácií v júni 2025 a zraniteľnosti boli odvtedy odstránené. V súčasnosti neexistujú žiadne dôkazy o tom, že by tieto slabiny boli zneužité pri útokoch v reálnom svete.

Bezpečnostní analytici varujú, že tieto chyby podkopávajú základné architektonické predpoklady platformy a zavádzajú doteraz nerozpoznanú triedu útokov schopných manipulovať alebo extrahovať dáta medzi viacerými cloudovými nájomníkmi.

Deväť zraniteľností, ktoré sa skrývajú za útokom LeakyLooker

Výskum identifikoval deväť odlišných chýb ovplyvňujúcich rôzne komponenty platformy a jej dátové konektory. Medzi tieto zraniteľnosti patria:

• Neoprávnený prístup medzi nájomníkmi prostredníctvom SQL injection bez kliknutia na databázové konektory
• Neoprávnený prístup medzi nájomníkmi prostredníctvom SQL injection bez kliknutia s použitím uložených prihlasovacích údajov
• SQL injection medzi klientmi zameraný na BigQuery prostredníctvom natívnych funkcií
• Vystavenie zdrojom údajov medzi nájomníkmi prostredníctvom hypertextových odkazov
• SQL injection medzi klientmi ovplyvňujúci Spanner a BigQuery prostredníctvom vlastných dotazov na zdroji údajov obete
• SQL injection medzi klientmi prostredníctvom Looker linking API, ovplyvňujúce BigQuery a Spanner
• Únik údajov medzi nájomníkmi prostredníctvom vykresľovania obrázkov
• XS-Leak medzi nájomníkmi na ľubovoľných zdrojoch údajov s použitím počítania rámcov a bočných kanálov založených na načasovaní
• Útoky typu „odmietnutie peňaženky“ medzi nájomníkmi prostredníctvom spotreby zdrojov BigQuery

Tieto problémy by spoločne mohli útočníkom umožniť načítavať, vkladať alebo mazať údaje zo služieb obetí prevádzkovaných v prostrediach Google Cloud.

Rozsiahle vystavenie v rámci dátových konektorov

Tieto zraniteľnosti predstavovali riziko pre organizácie používajúce širokú škálu dátových integrácií Looker Studio. Postihnutý ekosystém zahŕňa viacero úložných platforiem a databáz bežne používaných v podnikových prostrediach vrátane Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL a Google Cloud Storage.

Akákoľvek organizácia, ktorá sa spolieha na tieto konektory v dashboardoch Looker Studio, mohla byť potenciálne ovplyvnená, pretože zraniteľnosti umožňovali útočníkom prekročiť hranice nájomníkov a získať prístup k zdrojom patriacim rôznym cloudovým projektom.

Cesty zneužitia: Od verejných správ po kontrolu databázy

Scenáre útokov načrtnuté výskumníkmi demonštrujú, ako by útočníci mohli využiť verejne dostupné dashboardy alebo získať prístup k súkromne zdieľaným prehľadom. Po získaní prístupu by mohli škodlivci zneužiť zraniteľnosti na prevzatie kontroly nad pripojenými databázami.

Jeden scenár zahŕňal skenovanie verejne dostupných reportov Looker Studio pripojených k zdrojom údajov, ako je BigQuery. Zneužitím chýb typu injection mohli útočníci spúšťať ľubovoľné SQL dotazy v celom cloudovom projekte vlastníka, čo umožňovalo rozsiahlu extrakciu údajov.

Ďalšia cesta útoku zneužila logickú chybu v mechanizme kopírovania prehľadov. Keď obeť zdieľala prehľad, či už verejne alebo s konkrétnymi používateľmi, a prehľad používal zdroj údajov založený na JDBC, ako napríklad PostgreSQL, útočníci mohli prehľad duplikovať a zároveň si zachovať uložené prihlasovacie údaje pôvodného vlastníka. Táto chyba umožňovala neoprávneným používateľom vykonávať akcie, ako je úprava alebo mazanie databázových tabuliek.

Výskumníci tiež predviedli vysokoúčinnú techniku umožňujúcu exfiltráciu dát jedným kliknutím. V tomto scenári obeť, ktorá otvorila špeciálne vytvorenú správu, spustila škodlivú aktivitu prehliadača, ktorá komunikovala s projektom ovládaným útočníkom. Prostredníctvom analýzy a rekonštrukcie protokolov mohol útočník znovu vytvoriť celé databázy zo zachytených dát.

Model narušenej dôvery: Povolenia divákov obrátené proti platforme

Tieto zraniteľnosti efektívne podkopali základný princíp dizajnu Looker Studio: predpoklad, že používatelia s prístupom na úrovni prehliadača nemôžu kontrolovať ani ovplyvňovať podkladové údaje.

Využitím objavených slabých miest mohli útočníci obísť túto bezpečnostnú hranicu a priamo interagovať s pripojenými službami. Táto schopnosť otvorila dvere neoprávnenej extrakcii údajov, manipulácii a prístupu medzi nájomníkmi, čo ovplyvnilo služby ako BigQuery a Tabuľky Google.

Hoci boli zraniteľnosti už opravené, zistenia zdôrazňujú dôležitosť dôsledného bezpečnostného návrhu v cloudových platformách s viacerými nájomníkmi, kde sa jediná logická chyba môže kaskádovito rozšíriť do širokého spektra prostredí.