الثغرة: تجاوز صلاحيات IAM في Config Connector

اكتشف الباحث الأمني جاستن أوديري ثغرة خطيرة في ترقية الصلاحيات في أداة Config Connector من جوجل — وهي مشغل Kubernetes (أداة) تتيح للمؤسسات إدارة موارد GCP (مثل التخزين السحابي، قواعد البيانات، سياسات IAM) عبر أوامر Kubernetes .

التفاصيل التقنية: تسمح الثغرة لأي مستخدم في أي Kubernetes namespace بتجاوز ضوابط إدارة الهوية والوصول (IAM) في Google Cloud Platform. يمكن لمطور لديه صلاحيات أساسية في namespace واحد فقط استغلال هذه الثغرة للحصول على التحكم الإداري الكامل في بيئة GCP للمؤسسة بأكملها — مما يعني السيطرة الكاملة على حساب السحابة بالكامل . قيّم أوديري هذه الثغرة بـ CVSS 10.0 — أقصى درجة خطورة .

الجدول الزمني للاستجابة المتضاربة من جوجل

القضية مفتوحة منذ ما يقرب من ثلاثة أشهر دون إصدار أي إصلاح أو دفع أي مكافأة .

1. القبول الأولي — 'إمساكة جميلة!'
   قام فريق مكافآت الثغرات في جوجل في البداية بفرز التقرير وتصنيفه كـ أولوية عالية / خطورة عالية، وأشاد أحد ممثلي جوجل بأوديري قائلاً 'إمساكة جميلة!' .

2. رفض المكافأة — 'يعمل كما هو مقصود'
   تراجعت جوجل لاحقًا عن موقفها، وأغلقت التقرير، ووصفت السلوك بأنه 'يعمل كما هو مقصود' — مما يعني أنه لا يعتبر ثغرة صالحة بموجب قواعد البرنامج. لم يتم إصدار أي مكافأة .

3. لا إصلاح، لا يزال مفتوحًا
   حتى 18 يونيو 2026، لا تزال الثغرة دون حل. لم تقم جوجل بتصحيح Config Connector ولم تقدم لأوديري أي مكافأة .

السياق الأوسع: إصلاح جوجل لبرنامج مكافآت الثغرات لعام 2026

في أواخر أبريل / أوائل مايو 2026، قامت جوجل بإصلاح شامل لبرامج مكافآت الثغرات الخاصة بـ Chrome وAndroid، مستشهدة بـ ارتفاع في التقارير المولدة بالذكاء الاصطناعي .

• تم تخفيض مدفوعات Chrome — أعادت جوجل هيكلة المكافآت لت prioritise التقارير 'القابلة للتنفيذ' والثغرات ذات التأثير الأعلى، مما قلل صراحةً المكافآت للتقارير منخفضة التأثير التي يمكن لأدوات الذكاء الاصطناعي توليدها بكميات كبيرة .
• ارتفعت المكافآت القصوى في Android — تم رفع الحد الأقصى للدفع لثغرات Titan M التي لا تتطلب نقرات إلى 1.5 مليون دولار، مستهدفةً ثغرات عميقة على مستوى الأجهزة يصعب على الذكاء الاصطناعي العثور عليها .
• صرحت جوجل بأنها 'تخفض بعض مبالغ المكافآت والمكافآت الإضافية عبر Android وChrome' للتركيز على 'الجودة والتأثير الواقعي على حساب الكم الهائل' .

قضية أوديري، رغم أنها ضمن برنامج مكافآت الثغرات السحابية (وليس Chrome/Android)، تغذي تصورًا متزايدًا بين الباحثين بأن جوجل تشدد في صرف المكافآت حتى للثغرات الشديدة التي يتم اكتشافها يدويًا — في وقت تقوم فيه الشركة بتخفيض المكافآت علنًا بسبب ضوضاء الذكاء الاصطناعي .

الثغرة: تجاوز صلاحيات IAM في Config Connector

اكتشف الباحث الأمني جاستن أوديري ثغرة خطيرة في ترقية الصلاحيات في أداة Config Connector من جوجل — وهي مشغل Kubernetes (أداة) تتيح للمؤسسات إدارة موارد GCP (مثل التخزين السحابي، قواعد البيانات، سياسات IAM) عبر أوامر Kubernetes .

التفاصيل التقنية: تسمح الثغرة لأي مستخدم في أي Kubernetes namespace بتجاوز ضوابط إدارة الهوية والوصول (IAM) في Google Cloud Platform. يمكن لمطور لديه صلاحيات أساسية في namespace واحد فقط استغلال هذه الثغرة للحصول على التحكم الإداري الكامل في بيئة GCP للمؤسسة بأكملها — مما يعني السيطرة الكاملة على حساب السحابة بالكامل . قيّم أوديري هذه الثغرة بـ CVSS 10.0 — أقصى درجة خطورة .

الجدول الزمني للاستجابة المتضاربة من جوجل

القضية مفتوحة منذ ما يقرب من ثلاثة أشهر دون إصدار أي إصلاح أو دفع أي مكافأة .

1. القبول الأولي — 'إمساكة جميلة!'
   قام فريق مكافآت الثغرات في جوجل في البداية بفرز التقرير وتصنيفه كـ أولوية عالية / خطورة عالية، وأشاد أحد ممثلي جوجل بأوديري قائلاً 'إمساكة جميلة!' .

2. رفض المكافأة — 'يعمل كما هو مقصود'
   تراجعت جوجل لاحقًا عن موقفها، وأغلقت التقرير، ووصفت السلوك بأنه 'يعمل كما هو مقصود' — مما يعني أنه لا يعتبر ثغرة صالحة بموجب قواعد البرنامج. لم يتم إصدار أي مكافأة .

3. لا إصلاح، لا يزال مفتوحًا
   حتى 18 يونيو 2026، لا تزال الثغرة دون حل. لم تقم جوجل بتصحيح Config Connector ولم تقدم لأوديري أي مكافأة .

السياق الأوسع: إصلاح جوجل لبرنامج مكافآت الثغرات لعام 2026

في أواخر أبريل / أوائل مايو 2026، قامت جوجل بإصلاح شامل لبرامج مكافآت الثغرات الخاصة بـ Chrome وAndroid، مستشهدة بـ ارتفاع في التقارير المولدة بالذكاء الاصطناعي .

• تم تخفيض مدفوعات Chrome — أعادت جوجل هيكلة المكافآت لت prioritise التقارير 'القابلة للتنفيذ' والثغرات ذات التأثير الأعلى، مما قلل صراحةً المكافآت للتقارير منخفضة التأثير التي يمكن لأدوات الذكاء الاصطناعي توليدها بكميات كبيرة .
• ارتفعت المكافآت القصوى في Android — تم رفع الحد الأقصى للدفع لثغرات Titan M التي لا تتطلب نقرات إلى 1.5 مليون دولار، مستهدفةً ثغرات عميقة على مستوى الأجهزة يصعب على الذكاء الاصطناعي العثور عليها .
• صرحت جوجل بأنها 'تخفض بعض مبالغ المكافآت والمكافآت الإضافية عبر Android وChrome' للتركيز على 'الجودة والتأثير الواقعي على حساب الكم الهائل' .

قضية أوديري، رغم أنها ضمن برنامج مكافآت الثغرات السحابية (وليس Chrome/Android)، تغذي تصورًا متزايدًا بين الباحثين بأن جوجل تشدد في صرف المكافآت حتى للثغرات الشديدة التي يتم اكتشافها يدويًا — في وقت تقوم فيه الشركة بتخفيض المكافآت علنًا بسبب ضوضاء الذكاء الاصطناعي .