LeakyLooker-sårbarheter

Cybersäkerhetsforskare har avslöjat nio sårbarheter i Google Looker Studio som kan ha gjort det möjligt för angripare att köra godtyckliga SQL-frågor mot offrens databaser och extrahera känslig information från organisationsmiljöer som körs på Google Cloud Platform.

Samlingen av brister har gemensamt fått namnet LeakyLooker. Forskare rapporterade problemen genom ansvarsfullt avslöjande i juni 2025, och sårbarheterna har sedan dess åtgärdats. För närvarande finns det inga bevis som tyder på att dessa svagheter utnyttjades i verkliga attacker.

Säkerhetsanalytiker varnar för att bristerna undergräver centrala arkitektoniska antaganden i plattformen och introducerar en tidigare okänd klass av attacker som kan manipulera eller extrahera data från flera molnhyresgäster.

De nio sårbarheterna bakom LeakyLooker-attackytan

Forskningen identifierade nio olika brister som påverkar olika komponenter i plattformen och dess datakopplingar. Dessa sårbarheter inkluderar:

• Obehörig åtkomst mellan hyresgäster via SQL-injektion med noll klick på databaskopplingar
• Obehörig åtkomst mellan hyresgäster via SQL-injektion utan klick med lagrade autentiseringsuppgifter
• SQL-injektion mellan olika hyresgäster, inriktad på BigQuery via nativa funktioner
• Exponering av datakällor mellan olika hyresgäster via hyperlänkar
• SQL-injektion mellan hyresgäster som påverkar Spanner och BigQuery genom anpassade frågor på ett offers datakälla
• SQL-injektion mellan hyresgäster via Looker-länkning-API:et, vilket påverkar BigQuery och Spanner
• Dataläckage mellan hyresgäster genom bildrendering
• XS-läcka mellan hyresgäster på godtyckliga datakällor med hjälp av bildräkning och tidsbaserade sidokanaler
• Cross-tenant denial-of-wallet-attacker genom BigQuery-resursförbrukning

Sammantaget kan dessa problem göra det möjligt för angripare att hämta, infoga eller radera data från offertjänster som verkar i Google Cloud-miljöer.

Utbredd exponering över datakontakter

Sårbarheterna utgjorde risker för organisationer som använder en mängd olika dataintegrationer i Looker Studio. Det drabbade ekosystemet omfattar flera lagringsplattformar och databaser som vanligtvis används i företagsmiljöer, inklusive Google Sheets, Google BigQuery, Google Cloud Spanner, PostgreSQL, MySQL och Google Cloud Storage.

Alla organisationer som förlitar sig på dessa kopplingar i Looker Studio-instrumentpaneler kunde potentiellt ha påverkats, eftersom sårbarheterna gjorde det möjligt för angripare att korsa hyresgästgränser och komma åt resurser som tillhör olika molnprojekt.

Exploateringsvägar: Från offentliga rapporter till databaskontroll

Attackscenarier som beskrivs av forskare visar hur angripare kan utnyttja offentligt tillgängliga dashboards eller få tillgång till privat delade rapporter. När åtkomst väl erhållits kan illvilliga aktörer utnyttja sårbarheterna för att ta kontroll över anslutna databaser.

Ett scenario involverade skanning efter offentligt tillgängliga Looker Studio-rapporter kopplade till datakällor som BigQuery. Genom att utnyttja injektionsbrister kunde angripare köra godtyckliga SQL-frågor över hela ägarens molnprojekt, vilket möjliggjorde storskalig datautvinning.

En annan attackväg utnyttjade en logisk brist i rapportkopieringsmekanismen. När ett offer delade en rapport, antingen offentligt eller med specifika användare, och rapporten använde en JDBC-baserad datakälla som PostgreSQL, kunde angripare duplicera rapporten samtidigt som de behöll den ursprungliga ägarens lagrade inloggningsuppgifter. Denna brist gjorde det möjligt för obehöriga användare att utföra åtgärder som att ändra eller ta bort databastabeller.

Forskare demonstrerade också en effektiv teknik som möjliggör dataexfiltrering med ett klick. I det här scenariot utlöste ett offer som öppnade en specialskriven rapport skadlig webbläsaraktivitet som kommunicerade med ett angriparkontrollerat projekt. Genom logganalys och rekonstruktion kunde angriparen återskapa hela databaser från den insamlade datan.

Bruten förtroendemodell: Tittarbehörigheter riktade mot plattformen

Sårbarheterna undergrävde effektivt en central designprincip i Looker Studio: antagandet att användare med åtkomst på visningsnivå inte kan kontrollera eller påverka underliggande data.

Genom att utnyttja de upptäckta svagheterna kunde angripare kringgå denna säkerhetsgräns och interagera direkt med anslutna tjänster. Denna funktion öppnade dörren för obehörig datautvinning, manipulation och åtkomst mellan hyresgäster, vilket påverkade tjänster som BigQuery och Google Sheets.

Även om sårbarheterna nu har åtgärdats, belyser resultaten vikten av rigorös säkerhetsdesign i molnplattformar med flera hyresgäster, där en enda logisk brist kan leda till omfattande exponering över flera miljöer.