CVE-2025-12472
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Atakujący z rolą Looker Developer może manipulować projektem LookML, aby wykorzystać warunek wyścigu podczas usuwania katalogu Git, co prowadzi do wykonania dowolnych poleceń na instancji Looker. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został złagodzony dla instancji hostowanych przez Looker, a dla self-hosted został naprawiony we wszystkich wspieranych wersjach.
Ocena ryzyka
Atakujący z uprawnieniami dewelopera może wykonać dowolne polecenia na serwerze Looker, co może prowadzić do pełnego przejęcia systemu i naruszenia danych. Wymaga to jednak posiadania roli dewelopera.
Rekomendacja
Dla instancji self-hosted należy jak najszybciej zaktualizować do jednej z wersji: 24.12.103+, 24.18.195+, 25.0.72+, 25.6.60+, 25.8.42+, 25.10.22+. Ogranicz przyznawanie roli Looker Developer do zaufanych użytkowników.
Inne podatności w Looker
Zobacz wszystkie- CVE-2025-12414Krytyczne
W Looker skonfigurowanym z uwierzytelnianiem OIDC, z powodu normalizacji adresów e-mail, atakujący może przejąć konto użytkownika. Problem dotyczy zarówno wersji hostowanej przez Looker, jak i samodzielnie instalowanych; wersje hostowane zostały już załatane, a samodzielne wymagają aktualizacji.
- CVE-2025-12742Wysokie
Użytkownik Looker z rolą Developer może spowodować wykonanie złośliwego polecenia przez Looker z powodu niebezpiecznego przetwarzania parametrów sterownika Teradata. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został już złagodzony dla instancji hostowanych przez Looker — nie wymagają one działań użytkownika. Instancje self-hosted muszą zostać jak najszybciej zaktualizowane; podatność została załatana we wszystkich wspieranych wersjach self-hosted (24.12.108+, 24.18.200+, 25.0.78+, 25.6.65+, 25.8.47+, 25.12.10+, 25.14+).
- CVE-2025-12741Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika Denodo i manipulując LookML, spowodować wykonanie złośliwego polecenia. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12740Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika IBM DB2 i manipulując LookML, spowodować wykonanie złośliwego polecenia z powodu niedostatecznego filtrowania parametrów sterownika. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12739Wysokie
Atakujący z uprawnieniami viewer w Looker może stworzyć złośliwy URL, który po otwarciu przez administratora Looker wykona dostarczony przez atakującego skrypt. Wykorzystanie wymaga zainstalowania co najmniej jednego rozszerzenia Looker na instancji.
- CVE-2025-12743Średnie
Punkt końcowy Looker do generowania nowych projektów z połączeń bazodanowych pozwala podać nazwę połączenia "looker", zarezerwowaną dla wewnętrznej bazy MySQL Looker. Parametr schemas jest podatny na wstrzyknięcie SQL, co umożliwia atakującym manipulowanie zapytaniami SELECT wykonywanymi na wewnętrznej bazie MySQL i wyodrębnienie danych przez użytkowników z uprawnieniami deweloperskimi.
- CVE-2025-12155Wysokie
Podatność na wstrzyknięcie poleceń wynikająca z niewłaściwej sanityzacji ścieżek plików (Directory Traversal) w Looker pozwala atakującemu z uprawnieniami Developer na wykonanie dowolnych poleceń powłoki podczas usuwania użytkownika w systemie hosta. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted; instancje hostowane zostały już zabezpieczone, natomiast self-hosted wymagają pilnej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
An attacker with a Looker Developer role could manipulate a LookML project to exploit a race condition during Git directory deletion, leading to arbitrary command execution on the Looker instance. Looker-hosted and Self-hosted were found to be vulnerable. This issue has already been mitigated for Looker-hosted instances. No user action is required for these. Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted. The versions below have all been updated to protect from this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ : * 24.12.103+ * 24.18.195+ * 25.0.72+ * 25.6.60+ * 25.8.42+ * 25.10.22+
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS