Google Looker Studioの「LeakyLooker」脆弱性、クリック一つでデータ改ざんの恐れ

Google Looker Studioの「LeakyLooker」脆弱性

セキュリティ研究者により、Google Looker Studioにおいて「LeakyLooker」と呼ばれるクロステナント型の脆弱性が確認された。この欠陥を悪用された場合、攻撃者が被害者のデータベース上で任意のSQLクエリを実行し、Google Cloud環境内の機密データを取得する可能性があると指摘されている。

ただしGoogleは、この問題に対する修正を2025年6月までに完了しており、現時点で当該脆弱性が実際に悪用された事例は確認されていない。

クロステナント脆弱性のリスク

クロステナント型の脆弱性が悪用された場合、攻撃者が複数のクラウドテナントのデータベースへアクセスできる可能性がある。Looker Studioのレポートやコネクター機能を悪用することで、他のテナントへデータを移動させたり、GCPプロジェクトに対する制御権を取得される恐れが指摘されている。

レポートコピー機能の悪用によるデータ流出の可能性

特に、PostgreSQLなどのJDBC接続を利用したレポートが公開設定で共有された場合、攻撃者がレポートのコピー機能を悪用し、データ所有者の権限を利用して情報を取得する恐れがある。これにより、データの改ざんや削除が可能となり、データの整合性に深刻な影響を及ぼす可能性が指摘されている。

悪意のあるレポート共有によるデータ流出リスク

特定の形式で作成されたレポートが共有されると、クリック一つでデータ流出につながる可能性があると指摘されている。被害者のブラウザ上で悪意のあるコードが実行されると、攻撃者が管理するプロジェクトへ接続され、データベース全体が不正に操作される恐れがある。

今回のGoogle Looker Studioの「LeakyLooker」脆弱性は、クラウド環境におけるデータ保護の重要性を改めて示す事例となった。専門家は、データコネクタの管理を強化するとともに、クラウドデータを安全に保護するための対策を継続的に講じる必要があると指摘している。