LeakyLooker漏洞
网络安全研究人员发现了 Google Looker Studio 中的九个跨租户漏洞，这些漏洞可能使攻击者能够对受害者的数据库执行任意 SQL 查询，并从运行在 Google Cloud Platform 上的组织环境中提取敏感信息。
这组漏洞被统称为 LeakyLooker。研究人员于 2025 年 6 月通过负责任披露的方式报告了这些问题，漏洞此后已得到修复。目前，没有证据表明这些漏洞在实际攻击中被利用。
安全分析师警告说，这些缺陷破坏了平台的核心架构假设，并引入了一种以前未被认识到的攻击类型，这种攻击能够操纵或提取多个云租户的数据。
目录
LeakyLooker攻击面背后的九大漏洞
该研究发现了影响平台及其数据连接器不同组件的九个不同缺陷。这些漏洞包括：
- 通过对数据库连接器进行零点击 SQL 注入，实现跨租户未经授权的访问
- 利用存储的凭据，通过零点击 SQL 注入实现跨租户未经授权的访问
- 通过原生函数对 BigQuery 进行跨租户 SQL 注入攻击
- 通过超链接实现跨租户数据源的公开
- 通过对受害者数据源进行自定义查询，跨租户 SQL 注入攻击影响 Spanner 和 BigQuery。
- 通过 Looker 链接 API 进行跨租户 SQL 注入，影响 BigQuery 和 Spanner。
- 通过图像渲染实现的跨租户数据泄露
- 利用帧计数和基于时间的侧信道，在任意数据源上实现跨租户 XS-Leak 攻击
- 通过 BigQuery 资源消耗进行跨租户拒绝钱包攻击
综合来看，这些问题可能使攻击者能够从在 Google Cloud 环境中运行的受害服务中检索、插入或删除数据。
数据连接器的广泛暴露
这些漏洞对使用各种 Looker Studio 数据集成的组织构成了风险。受影响的生态系统涵盖了企业环境中常用的多种存储平台和数据库，包括 Google Sheets、Google BigQuery、Google Cloud Spanner、PostgreSQL、MySQL 和 Google Cloud Storage。
任何依赖 Looker Studio 仪表板中这些连接器的组织都可能受到影响，因为这些漏洞使攻击者能够跨越租户边界并访问属于不同云项目的资源。
利用途径：从公开报告到数据库控制
研究人员概述的攻击场景表明，攻击者可以利用公开访问的仪表板或获取私有共享报告的访问权限。一旦获得访问权限，恶意行为者就可以利用漏洞控制连接的数据库。
其中一种攻击场景是扫描连接到 BigQuery 等数据源的公开 Looker Studio 报表。攻击者利用注入漏洞，可以在所有者的整个云项目中执行任意 SQL 查询，从而实现大规模数据提取。
另一种攻击途径利用了报告复制机制中的逻辑缺陷。当受害者公开或与特定用户共享报告，且该报告使用了基于 JDBC 的数据源（例如 PostgreSQL）时，攻击者可以在保留原所有者存储的凭据的情况下复制该报告。此缺陷允许未经授权的用户执行诸如修改或删除数据库表之类的操作。
研究人员还展示了一种威力强大的技术，可实现一键式数据窃取。在这种情况下，受害者打开一份精心构造的报告后，会触发恶意浏览器活动，该活动会与攻击者控制的项目进行通信。通过日志分析和重建，攻击者可以利用捕获的数据重建整个数据库。
信任模式破裂：用户权限反过来对付平台
这些漏洞实际上破坏了 Looker Studio 的一个核心设计原则：即拥有查看器级别访问权限的用户无法控制或影响底层数据。
通过利用已发现的漏洞，攻击者可以绕过安全边界，直接与连接的服务进行交互。这种能力为未经授权的数据提取、篡改和跨租户访问打开了方便之门，影响了 BigQuery 和 Google Sheets 等服务。
尽管这些漏洞现在已经得到修复，但研究结果凸显了在多租户云平台中进行严格安全设计的重要性，因为一个逻辑缺陷可能会引发广泛的跨环境风险。
