ثغرات LeakyLooker في استوديو لوكر من جوجل

ثغرات LeakyLooker كشفت أن استوديو لوكر من جوجل قد يتيح تنفيذ استعلامات SQL عابرة للجهات وتسريب البيانات، وذلك قبل إصلاح المشكلة.ما هي ثغرات LeakyLooker في استوديو لوكر؟أعلن باحثون في الأمن السيبراني عن تسع ثغرات عابرة للمستأجرين داخل استوديو لوكر، ما يعني إمكانية تجاوز حدود المشاريع في سحابة جوجل. ويشير تقرير تيكبامين إلى أن الخلل كان نظرياً دون دلائل على استغلال واسع حتى الآن.عدد الثغرات: 9النوع: عابرة للمستأجرين عبر المنصةالأثر المحتمل: تشغيل استعلامات SQL والوصول لبيانات حساسةكما بيّن التحليل أن الثغرات كسرت وعود العزل بين المستأجرين، ما يزيد خطر انتقال الهجوم من تقرير بسيط إلى مشروع كامل.لماذا كانت خطيرة؟كانت الخطورة في كسر فرضية أن المستخدم المشاهد لا يمكنه التحكم بالبيانات، ما يفتح الباب لقراءة أو تعديل البيانات الحساسة داخل المشاريع.كيف سمحت الثغرات باستعلامات SQL عابرة للجهات في جوجل؟يعمل Looker Studio كطبقة عرض لمصادر متعددة، وعندما يتم ربطه بموصلات قواعد بيانات يمكن للمهاجم استغلال أخطاء المنطق لتشغيل استعلامات خارج نطاقه. الخطر يزداد عندما تكون التقارير عامة أو مشتركة مع أطراف لا ينبغي أن تملك صلاحيات تنفيذية.وعندما تعتمد المؤسسات على موصلات قواعد بيانات مباشرة، يصبح أي خطأ في صلاحيات التقرير مساراً سريعاً للوصول غير المصرح به.جوجل شيتسبيج كويريسبانربوستغري إس كيو إلماي إس كيو إلكلاود ستوريجموصلات بيانات أخرىسيناريو نسخ التقريرفي أحد السيناريوهات، يمكن لمهاجم نسخ تقرير مرتبط بموصل JDBC مع الاحتفاظ ببيانات اعتماد المالك الأصلي، ما يتيح له حذف الجداول أو تعديلها دون علم الضحية.ما طرق الاستغلال عالية التأثير التي تم تصورها؟يوضح الباحثون أن المهاجم يمكنه فحص تقارير عامة أو الوصول لتقارير خاصة عبر مشاركة غير مقصودة، ثم التحرك داخل المشروع الكامل. هذا يسهّل الوصول إلى مجموعات بيانات كاملة عبر أكثر من مستأجر.الوصول لمجموعات البيانات الكاملة يعني إمكانية القراءة أو الإدخال أو الحذف، وهو ما يضخم الضرر على بيئات التحليلات والعمليات.البحث عن تقارير عامة في استوديو لوكر مرتبطة ببيج كويرياستغلال نسخ التقرير للاحتفاظ بالاعتمادياتمشاركة تقرير مُعد خصيصاً لتنفيذ شيفرة في المتصفحاستغلال بنقرة واحدةيعتمد هذا المسار على تقرير مُصمم يفرض على متصفح الضحية الاتصال بمشروع يسيطر عليه المهاجم، ثم إعادة بناء قواعد البيانات من السجلات. ورغم تعقيده، إلا أنه يوضح حجم المخاطر عند مشاركة التقارير دون قيود.كيف استجابت جوجل وما الدروس للمؤسسات؟قامت جوجل بإصلاح الثغرات بعد إفصاح مسؤول في يونيو 2025، وأكدت أن التحديثات تُطبق على مستوى المنصة. هذا يعني أن المؤسسات لا تحتاج لتحديث محلي، لكنها مطالبة بمراجعة إعدادات المشاركة.من منظور الحوكمة، يجب ربط التقارير بحسابات خدمة محدودة ومراجعة السجلات دورياً لاكتشاف الاستعلامات الشاذة.حصر التقارير العامة وتقليل المشاركة الخارجيةمراجعة موصلات قواعد البيانات وتفعيل أقل صلاحيات ممكنةتدوير بيانات الاعتماد لمصادر JDBC الحساسةمراقبة سجلات الوصول والاستعلامات غير المعتادةوفي النهاية، تؤكد تيكبامين أن ثغرات LeakyLooker تذكير بضرورة تدقيق مشاركة تقارير استوديو لوكر وتحديث سياسات الوصول قبل توسيع الاعتماد على السحابة.