Google Looker Studio platformunda, Tenable tarafından “LeakyLooker” adı verilen bir dizi güvenlik açığı tespit edildi. Bu zafiyetler, çoklu kiracı mimarisinde yetkisiz SQL sorguları çalıştırılmasına ve veri sızıntılarına yol açabiliyor. Haziran 2025’te yapılan sorumlu bildirimler sonrası Google tarafından yamalar yayımlandı.
Saldırının Genel Çerçevesi
Açıklar, Looker Studio’nun veri bağlayıcılarında ve yerel fonksiyonlarında ortaya çıkan sıfır tıklamalı SQL enjeksiyonu ve veri sızıntısı sorunlarını içeriyor. Bunlar arasında BigQuery, Spanner, PostgreSQL, MySQL ve Cloud Storage gibi Google Cloud hizmetlerini hedef alan çoklu kiracı SQL enjeksiyonları bulunuyor. Saldırganlar, bu zafiyetleri kullanarak farklı bulut kiracıları arasında veri erişimi sağlayabilir, veritabanlarını manipüle edebilir ve hassas bilgileri dışa aktarabilir.
Hangi Sistemler Risk Altında?
Özellikle Google Cloud Platform üzerinde çalışan ve Looker Studio veri bağlayıcılarını kullanan kurumlar risk altında. Bu kapsamda finans, e-ticaret, SaaS sağlayıcıları ve bulut tabanlı altyapılar hedef olabilir. Çoklu kiracı ortamlarında, saldırganlar rapor kopyalama ve paylaşım mekanizmalarındaki mantık hatalarından faydalanarak orijinal kullanıcı kimlik bilgileriyle veri tabanlarını değiştirebilir veya silebilir.
Saldırı Zinciri ve Teknik Detaylar
- Başlangıç: Saldırgan, genel veya özel Looker Studio raporlarına erişim sağlar.
- İstismar: SQL enjeksiyonu ve veri sızıntısı açıkları üzerinden çoklu kiracı veritabanlarına yetkisiz sorgular gönderir.
- Veri Manipülasyonu: Veritabanı tabloları silinebilir, değiştirilebilir veya hassas veriler dışa aktarılabilir.
Bu zafiyetler, MITRE ATT&CK teknikleri arasında T1190 (Exploit Public-Facing Application) ve T1071 (Application Layer Protocol) ile ilişkilendirilebilir. Ayrıca, saldırganların kötü amaçlı kod çalıştırarak (örneğin, tek tıklamalı veri dışa aktarımı) GCP projeleriyle iletişim kurması da mümkündür.
Siber Güvenlik Ekipleri İçin Öneriler
- Looker Studio ve bağlı veri bağlayıcılarının güncel yamalarını uygulayın.
- Google Cloud IAM politikalarını gözden geçirerek en az ayrıcalık prensibini uygulayın.
- Veri erişim loglarını SIEM sistemleriyle entegre ederek anormal sorgu aktivitelerini izleyin.
- EDR çözümleriyle kullanıcı davranışlarını analiz ederek şüpheli hareketleri tespit edin.
- Rapor paylaşım ve kopyalama mekanizmalarında erişim kontrollerini sıkılaştırın.
- Bulut ortamlarında ağ segmentasyonu ve Zero Trust mimarisi uygulayarak saldırı yüzeyini azaltın.
- Looker Studio raporlarında kullanılan JDBC bağlantılarının güvenliğini ve kimlik doğrulamasını kontrol edin.
- Olay müdahale planlarını güncelleyerek bu tür çoklu kiracı saldırılarına karşı hazırlıklı olun.
Kurumsal Ortamlarda Olası Senaryo
Bir finans kurumunda, Looker Studio üzerinden BigQuery veri bağlayıcısı kullanılıyor. Saldırgan, rapor kopyalama özelliğindeki mantık hatasından faydalanarak orijinal kullanıcının kimlik bilgileriyle SQL enjeksiyonu gerçekleştiriyor. Bu sayede, kurumun farklı projelerindeki tüm veritabanlarına erişim sağlanıyor ve hassas müşteri verileri dışa aktarılıyor. Bu durum, hem veri ihlali hem de operasyonel kesintiye yol açabilir.