Google corrige falhas críticas no Looker com risco de execução de código

Investigadores da Tenable identificaram duas vulnerabilidades críticas no Google Looker que, se exploradas, podem permitir o comprometimento total de instâncias da plataforma de business intelligence. As falhas, designadas coletivamente por LookOut, permitem a execução remota de código e o acesso não autorizado a dados sensíveis.

O Google Looker é amplamente utilizado por empresas para centralizar dados provenientes de múltiplas fontes, permitindo a criação de dashboards, visualizações em tempo real e aplicações orientadas por dados. A plataforma pode ser consumida como serviço gerido na cloud da Google ou instalada em infraestruturas próprias das organizações.

Segundo a Tenable, as vulnerabilidades podem ser exploradas por um atacante com permissões de programador numa instância Looker. Uma das falhas permite execução remota de código, possibilitando ao atacante obter privilégios administrativos completos sobre a infraestrutura subjacente. A partir daí, seria possível roubar segredos, manipular dados ou avançar para outros sistemas da rede interna. Em ambientes cloud, a Tenable alerta que este cenário poderia mesmo resultar em acesso cruzado entre diferentes clientes.

A segunda vulnerabilidade corresponde a um bypass de autorização que permite aos atacantes ligarem-se às bases de dados internas do Looker e exfiltrarem a totalidade da base de dados MySQL interna através de uma técnica de SQL injection baseada em erros.

A Google corrigiu ambas as falhas no final de setembro de 2025. As instâncias alojadas na cloud da Google receberam automaticamente as atualizações de segurança, mas as organizações que utilizam versões self-hosted devem garantir que estão a executar versões corrigidas do Looker.

A empresa tecnológica afirmou não ter identificado indícios de exploração ativa destas vulnerabilidades, mas o caso sublinha os riscos associados a plataformas analíticas críticas quando combinadas com permissões elevadas e falhas de controlo de acesso, reforçando a importância de uma gestão rigorosa de privilégios e de atualizações de segurança atempadas.