Novas falhas "LeakyLooker" no Google Looker Studio podem permitir consultas SQL cross-tenant

A Tenable Research batizou de 'LeakyLooker' um conjunto de nove falhas críticas que transformavam o Looker Studio, plataforma de BI usada por milhares de empresas para relatórios em tempo real, em uma porta de entrada cross-tenant para execução remota de SQL. Diferente de injeções clássicas, algumas dessas vulnerabilidades exploravam mecanismos internos do próprio serviço: por exemplo, uma falha de 'Alias Injection' contornava filtros do Google usando comentários SQL (como /* */) para injetar comandos de backend sem precisar de interação da vítima. Em outro cenário, ao copiar um relatório, credenciais armazenadas permaneciam vinculadas, ou seja, quem recebia o relatório podia executar consultas no BigQuery ou Spanner da empresa original, mesmo sem ter acesso direto à conta GCP.

O mais preocupante não foi só o alcance (BigQuery, Spanner, PostgreSQL, MySQL, Sheets e Cloud Storage), mas a forma como as falhas desafiavam pressupostos de segurança do modelo SaaS: o Looker Studio é totalmente gerenciado, mas sua arquitetura de compartilhamento de relatórios e reutilização de conexões de dados criou um novo vetor de ataque, onde o 'relatório' virou um payload executável. Não houve exploração conhecida, mas a correção foi feita silenciosamente pelo Google entre junho de 2025 e março de 2026, sem necessidade de atualização por parte do usuário.

Empresas tratam relatórios de BI como objetos estáticos, mas o LeakyLooker mostra que, em ambientes de nuvem, eles são superfícies de ataque dinâmicas, especialmente quando integram diretamente com bancos de dados produtivos. Uma única URL compartilhada com permissão 'editar' podia, antes da correção, permitir exfiltração de dados sensíveis do BigQuery de outra organização, sem autenticação adicional. Isso força uma revisão urgente de políticas de compartilhamento: limitar o uso de conectores não essenciais, revogar credenciais salvas em relatórios compartilhados e auditar quem tem permissão para copiar ou duplicar dashboards. A falha também expõe um risco sistêmico em plataformas de análise que prometem 'isolamento de dados', mas dependem de mecanismos de confiança entre tenants no mesmo backend.