Рањивости LeakyLooker-а

Истраживачи сајбер безбедности открили су скуп од девет међузакупних рањивости у програму Google Looker Studio које су могле омогућити нападачима да извршавају произвољне SQL упите према базама података жртава и извлаче осетљиве информације из организационих окружења која раде на Google Cloud платформи.

Колекција пропуста је заједнички названа LeakyLooker. Истраживачи су пријавили проблеме путем одговорног откривања у јуну 2025. године, а рањивости су од тада отклоњене. Тренутно нема доказа који указују на то да су ове слабости искоришћене у нападима у стварном свету.

Безбедносни аналитичари упозоравају да недостаци поткопавају основне архитектонске претпоставке платформе и уводе раније непознату класу напада способних за манипулацију или извлачење података између више корисника облака.

Девет рањивости које стоје иза напада LeakyLooker-а

Истраживање је идентификовало девет различитих недостатака који утичу на различите компоненте платформе и њене конекторе података. Ови недостаци укључују:

• Неовлашћени приступ више закупаца путем SQL инјекције без клика на конекторима базе података
• Неовлашћени приступ више закупаца путем SQL инјекције без клика користећи сачуване акредитиве
• SQL инјекција између корисника циља BigQuery-ја путем нативних функција
• Изложеност извора података међу закупцима путем хиперлинкова
• SQL инјекција између корисника која утиче на Spanner и BigQuery путем прилагођених упита на извору података жртве
• SQL инјекција између корисника путем Looker Linking API-ја, што утиче на BigQuery и Spanner
• Цурење података између станара путем рендеровања слика
• XS-Leak између закупаца на произвољним изворима података коришћењем бројања фрејмова и бочних канала заснованих на времену
• Напади ускраћивања новчаника између корисника путем потрошње ресурса BigQuery-ја

Заједно, ови проблеми би могли омогућити противницима да преузимају, уносе или бришу податке из сервиса жртве који раде у оквиру Google Cloud окружења.

Широко распрострањена изложеност међу конекторима података

Рањивости су представљале ризик за организације које користе широк спектар интеграција података Looker Studio-а. Погођени екосистем обухвата више платформи за складиштење и база података које се обично користе у пословним окружењима, укључујући Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL и Google Cloud Storage.

Било која организација која се ослања на ове конекторе у Looker Studio контролним таблама могла је потенцијално бити погођена, јер су рањивости омогућиле нападачима да пређу границе закупаца и приступе ресурсима који припадају различитим cloud пројектима.

Путеви експлоатације: Од јавних извештаја до контроле базе података

Сценарији напада које су истраживачи описали показују како нападачи могу да искористе јавно доступне контролне табле или да добију приступ приватно дељеним извештајима. Након што добију приступ, злонамерни актери могу да искористе рањивости да би преузели контролу над повезаним базама података.

Један сценарио је укључивао скенирање јавно доступних извештаја Looker Studio-а повезаних са изворима података као што је BigQuery. Искоришћавањем пропуста у убризгавању, нападачи су могли да извршавају произвољне SQL упите у целом cloud пројекту власника, омогућавајући екстракцију података великих размера.

Још један начин напада је искористио логичку грешку у механизму за копирање извештаја. Када је жртва поделила извештај, јавно или са одређеним корисницима, а извештај је користио извор података заснован на JDBC-у као што је PostgreSQL, нападачи су могли да дуплирају извештај, а да задрже сачуване акредитиве оригиналног власника. Ова грешка је омогућавала неовлашћеним корисницима да обављају радње као што су измена или брисање табела базе података.

Истраживачи су такође демонстрирали технику високог утицаја која омогућава крађу података једним кликом. У овом сценарију, жртва која је отворила посебно креиран извештај покренула је злонамерну активност прегледача која је комуницирала са пројектом којим је управљао нападач. Кроз анализу и реконструкцију логова, нападач је могао да поново изгради читаве базе података из заробљених података.

Модел нарушеног поверења: Дозволе гледалаца окренуте против платформе

Рањивости су ефикасно поткопале основни принцип дизајна Looker Studio-а: претпоставку да корисници са приступом на нивоу гледаоца не могу да контролишу или утичу на основне податке.

Искоришћавањем откривених слабости, нападачи су могли да заобиђу ову безбедносну границу и директно интерагују са повезаним сервисима. Ова могућност је отворила врата неовлашћеном издвајању података, манипулацији и унакрсном приступу, утичући на сервисе као што су BigQuery и Google Sheets.

Иако су рањивости сада исправљене, налази истичу важност ригорозног безбедносног дизајна у cloud платформама са више закупаца, где једна логичка грешка може да се претвори у широку изложеност у различитим окружењима.