⚡ Não perca: notícia importante no ar! ⚡
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram nove vulnerabilidades entre locatários no Google Looker Studio que poderiam ter permitido que invasores executassem consultas SQL arbitrárias nos bancos de dados das vítimas e exfiltrassem dados confidenciais nos ambientes do Google Cloud das organizações.
As deficiências foram denominadas coletivamente de LeakyLooker pela Tenable. Não há evidências de que as vulnerabilidades tenham sido exploradas em estado selvagem. Após a divulgação responsável em junho de 2025, os problemas foram resolvidos pelo Google.
A lista de falhas de segurança é a seguinte -
Acesso não autorizado entre locatários - injeção de SQL com zero clique em conectores de banco de dados
Acesso não autorizado entre locatários - injeção de SQL com zero clique por meio de credenciais armazenadas
Injeção de SQL entre locatários no BigQuery por meio de funções nativas
Vazamento de fontes de dados entre locatários com hiperlinks
Injeção de SQL entre locatários no Spanner e BigQuery por meio de consultas personalizadas na fonte de dados de uma vítima
Injeção de SQL entre locatários no BigQuery e no Spanner por meio da API de vinculação
Vazamento de fontes de dados entre locatários com renderização de imagem
Vazamento de XS entre locatários em fontes de dados arbitrárias com contagem de quadros e oráculos de tempo
Negação de carteira entre locatários por meio do BigQuery
“As vulnerabilidades quebraram suposições fundamentais de design, revelaram uma nova classe de ataque e poderiam ter permitido que os invasores exfiltrassem, inserissem e excluíssem dados nos serviços das vítimas e no ambiente do Google Cloud”, disse a pesquisadora de segurança Liv Matan em um relatório compartilhado com The Hacker News.
“Essas vulnerabilidades expuseram dados confidenciais em ambientes do Google Cloud Platform (GCP), afetando potencialmente qualquer organização que usa Planilhas Google, BigQuery, Spanner, PostgreSQL, MySQL, Cloud Storage e quase qualquer outro conector de dados do Looker Studio.”
A exploração bem-sucedida das falhas entre locatários poderia permitir que os atores da ameaça obtivessem acesso a conjuntos de dados e projetos inteiros em diferentes locatários da nuvem.
Os invasores podem procurar relatórios públicos do Looker Studio ou obter acesso a relatórios privados que usam esses conectores (por exemplo, BigQuery) e assumir o controle dos bancos de dados, permitindo-lhes executar consultas SQL arbitrárias em todo o projeto GCP do proprietário.
Alternativamente, a vítima cria um relatório como público ou o compartilha com um destinatário específico e usa uma fonte de dados conectada por JDBC, como o PostgreSQL. Nesse cenário, o invasor pode aproveitar uma falha lógica no recurso de cópia de relatório que possibilita clonar relatórios mantendo as credenciais do proprietário original, permitindo-lhes excluir ou modificar tabelas.
Outro caminho de alto impacto detalhado pela empresa de segurança cibernética envolveu a exfiltração de dados com um clique, onde o compartilhamento de um relatório especialmente elaborado força o navegador da vítima a executar código malicioso que entra em contato com um projeto controlado pelo invasor para reconstruir bancos de dados inteiros a partir de registros.
“As vulnerabilidades quebraram a promessa fundamental de que um ‘visualizador’ nunca deveria ser capaz de controlar os dados que está visualizando”, disse Matan, acrescentando que “poderiam ter permitido que invasores exfiltrassem ou modificassem dados em serviços do Google, como BigQuery e Google Sheets”.
As deficiências foram denominadas coletivamente de LeakyLooker pela Tenable. Não há evidências de que as vulnerabilidades tenham sido exploradas em estado selvagem. Após a divulgação responsável em junho de 2025, os problemas foram resolvidos pelo Google.
A lista de falhas de segurança é a seguinte -
Acesso não autorizado entre locatários - injeção de SQL com zero clique em conectores de banco de dados
Acesso não autorizado entre locatários - injeção de SQL com zero clique por meio de credenciais armazenadas
Injeção de SQL entre locatários no BigQuery por meio de funções nativas
Vazamento de fontes de dados entre locatários com hiperlinks
Injeção de SQL entre locatários no Spanner e BigQuery por meio de consultas personalizadas na fonte de dados de uma vítima
Injeção de SQL entre locatários no BigQuery e no Spanner por meio da API de vinculação
Vazamento de fontes de dados entre locatários com renderização de imagem
Vazamento de XS entre locatários em fontes de dados arbitrárias com contagem de quadros e oráculos de tempo
Negação de carteira entre locatários por meio do BigQuery
“As vulnerabilidades quebraram suposições fundamentais de design, revelaram uma nova classe de ataque e poderiam ter permitido que os invasores exfiltrassem, inserissem e excluíssem dados nos serviços das vítimas e no ambiente do Google Cloud”, disse a pesquisadora de segurança Liv Matan em um relatório compartilhado com The Hacker News.
“Essas vulnerabilidades expuseram dados confidenciais em ambientes do Google Cloud Platform (GCP), afetando potencialmente qualquer organização que usa Planilhas Google, BigQuery, Spanner, PostgreSQL, MySQL, Cloud Storage e quase qualquer outro conector de dados do Looker Studio.”
A exploração bem-sucedida das falhas entre locatários poderia permitir que os atores da ameaça obtivessem acesso a conjuntos de dados e projetos inteiros em diferentes locatários da nuvem.
Os invasores podem procurar relatórios públicos do Looker Studio ou obter acesso a relatórios privados que usam esses conectores (por exemplo, BigQuery) e assumir o controle dos bancos de dados, permitindo-lhes executar consultas SQL arbitrárias em todo o projeto GCP do proprietário.
Alternativamente, a vítima cria um relatório como público ou o compartilha com um destinatário específico e usa uma fonte de dados conectada por JDBC, como o PostgreSQL. Nesse cenário, o invasor pode aproveitar uma falha lógica no recurso de cópia de relatório que possibilita clonar relatórios mantendo as credenciais do proprietário original, permitindo-lhes excluir ou modificar tabelas.
Outro caminho de alto impacto detalhado pela empresa de segurança cibernética envolveu a exfiltração de dados com um clique, onde o compartilhamento de um relatório especialmente elaborado força o navegador da vítima a executar código malicioso que entra em contato com um projeto controlado pelo invasor para reconstruir bancos de dados inteiros a partir de registros.
“As vulnerabilidades quebraram a promessa fundamental de que um ‘visualizador’ nunca deveria ser capaz de controlar os dados que está visualizando”, disse Matan, acrescentando que “poderiam ter permitido que invasores exfiltrassem ou modificassem dados em serviços do Google, como BigQuery e Google Sheets”.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novas #falhas #“leakylooker” #no #google #looker #studio #podem #permitir #consultas #sql #entre #locatários
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário