Die Schwachstelle: Config Connector IAM-Autorisierungsumgehung

Der Sicherheitsforscher Justin O'Leary entdeckte einen kritischen Fehler in Googles Config Connector – einem Kubernetes-Operator, mit dem Unternehmen GCP-Ressourcen (wie Cloud-Speicher, Datenbanken, IAM-Richtlinien) über Kubernetes-Befehle verwalten können .

Technisches Detail: Der Fehler erlaubt es jedem Kubernetes-Namespace-Benutzer, die Identity and Access Management (IAM)-Kontrollen der Google Cloud Platform zu umgehen. Ein Entwickler mit grundlegendem Zugriff auf nur einen Kubernetes-Namespace könnte dies ausnutzen, um die vollständige administrative Kontrolle über die gesamte GCP-Umgebung einer Organisation zu erlangen – also effektiv das gesamte Cloud-Konto zu übernehmen . O'Leary bewertete diese Schwachstelle mit CVSS 10.0 – der maximal möglichen Schwere .

Googles widersprüchliche Reaktion im Zeitverlauf

Der Fall ist seit fast drei Monaten offen, ohne dass ein Fix veröffentlicht oder eine Prämie gezahlt wurde .

1. Erste Annahme – „Nice catch!“
   Das Bug-Bounty-Team von Google stufte den Bericht zunächst als hohe Priorität / hohen Schweregrad ein, und ein Google-Vertreter lobte O'Leary mit einem „Nice catch!“ .

2. Prämie verweigert – „Working as intended“
   Google nahm seine Entscheidung später zurück, schloss den Bericht und erklärte das Verhalten für „working as intended“ – es sei keine gültige Schwachstelle im Sinne der Programmregeln. Es wurde keine Belohnung ausgezahlt .

3. Kein Fix, weiterhin offen
   Stand 18. Juni 2026 ist der Fehler weiterhin ungelöst. Google hat Config Connector nicht gepatcht und O'Leary keine Prämie angeboten .

Weiterer Kontext: Googles VRP-Überarbeitung 2026

Ende April / Anfang Mai 2026 überarbeitete Google seine Vulnerability Reward Programs für Chrome und Android und begründete dies mit einer Flut von KI-generierten Einsendungen .

• Chrome-Auszahlungen wurden gekürzt – Google strukturierte die Belohnungen um, um „umsetzbare“ und wirkungsvollere Fehler zu priorisieren, und reduzierte explizit die Belohnungen für weniger schwerwiegende Meldungen, die KI-Tools nun in Massen generieren können .
• Android-Höchstprämien stiegen – Die maximale Auszahlung für persistente Titan-M-Zero-Click-Exploits wurde auf 1,5 Millionen Dollar angehoben, um tiefe Hardware-Fehler zu adressieren, die KI nicht einfach finden kann .
• Google erklärte, es werde „einige Belohnungsbeträge und Boni für Android und Chrome reduzieren“, um sich auf „Qualität und reale Auswirkungen statt auf bloße Masse“ zu konzentrieren .

O'Learys Fall betrifft zwar das Cloud-VRP (nicht Chrome/Android), fügt sich aber in die wachsende Wahrnehmung unter Forschern ein, dass Google die Auszahlungen selbst für schwerwiegende, manuell entdeckte Fehler verschärft – zu einer Zeit, in der das Unternehmen öffentlich die Prämien aufgrund von KI-Rauschen kürzt .

Die Schwachstelle: Config Connector IAM-Autorisierungsumgehung

Der Sicherheitsforscher Justin O'Leary entdeckte einen kritischen Fehler in Googles Config Connector – einem Kubernetes-Operator, mit dem Unternehmen GCP-Ressourcen (wie Cloud-Speicher, Datenbanken, IAM-Richtlinien) über Kubernetes-Befehle verwalten können .

Technisches Detail: Der Fehler erlaubt es jedem Kubernetes-Namespace-Benutzer, die Identity and Access Management (IAM)-Kontrollen der Google Cloud Platform zu umgehen. Ein Entwickler mit grundlegendem Zugriff auf nur einen Kubernetes-Namespace könnte dies ausnutzen, um die vollständige administrative Kontrolle über die gesamte GCP-Umgebung einer Organisation zu erlangen – also effektiv das gesamte Cloud-Konto zu übernehmen . O'Leary bewertete diese Schwachstelle mit CVSS 10.0 – der maximal möglichen Schwere .

Googles widersprüchliche Reaktion im Zeitverlauf

Der Fall ist seit fast drei Monaten offen, ohne dass ein Fix veröffentlicht oder eine Prämie gezahlt wurde .

1. Erste Annahme – „Nice catch!“
   Das Bug-Bounty-Team von Google stufte den Bericht zunächst als hohe Priorität / hohen Schweregrad ein, und ein Google-Vertreter lobte O'Leary mit einem „Nice catch!“ .

2. Prämie verweigert – „Working as intended“
   Google nahm seine Entscheidung später zurück, schloss den Bericht und erklärte das Verhalten für „working as intended“ – es sei keine gültige Schwachstelle im Sinne der Programmregeln. Es wurde keine Belohnung ausgezahlt .

3. Kein Fix, weiterhin offen
   Stand 18. Juni 2026 ist der Fehler weiterhin ungelöst. Google hat Config Connector nicht gepatcht und O'Leary keine Prämie angeboten .

Weiterer Kontext: Googles VRP-Überarbeitung 2026

Ende April / Anfang Mai 2026 überarbeitete Google seine Vulnerability Reward Programs für Chrome und Android und begründete dies mit einer Flut von KI-generierten Einsendungen .

• Chrome-Auszahlungen wurden gekürzt – Google strukturierte die Belohnungen um, um „umsetzbare“ und wirkungsvollere Fehler zu priorisieren, und reduzierte explizit die Belohnungen für weniger schwerwiegende Meldungen, die KI-Tools nun in Massen generieren können .
• Android-Höchstprämien stiegen – Die maximale Auszahlung für persistente Titan-M-Zero-Click-Exploits wurde auf 1,5 Millionen Dollar angehoben, um tiefe Hardware-Fehler zu adressieren, die KI nicht einfach finden kann .
• Google erklärte, es werde „einige Belohnungsbeträge und Boni für Android und Chrome reduzieren“, um sich auf „Qualität und reale Auswirkungen statt auf bloße Masse“ zu konzentrieren .

O'Learys Fall betrifft zwar das Cloud-VRP (nicht Chrome/Android), fügt sich aber in die wachsende Wahrnehmung unter Forschern ein, dass Google die Auszahlungen selbst für schwerwiegende, manuell entdeckte Fehler verschärft – zu einer Zeit, in der das Unternehmen öffentlich die Prämien aufgrund von KI-Rauschen kürzt .