Google lobt „Guter Fang!“ – und verweigert dann die Prämie für eine kritische Sicherheitslücke, die bis heute ungepatcht ist

Hier ist die vollständige Geschichte, basierend auf dem exklusiven Bericht von The Register und ergänzt durch weitere Berichte .

Die Schwachstelle: Config Connector IAM-Autorisierungsumgehung

Der Sicherheitsforscher Justin O'Leary entdeckte einen kritischen Fehler in Googles Config Connector – einem Kubernetes-Operator, mit dem Unternehmen GCP-Ressourcen (wie Cloud-Speicher, Datenbanken, IAM-Richtlinien) über Kubernetes-Befehle verwalten können .

Technisches Detail: Der Fehler erlaubt es jedem Kubernetes-Namespace-Benutzer, die Identity and Access Management (IAM)-Kontrollen der Google Cloud Platform zu umgehen. Ein Entwickler mit grundlegendem Zugriff auf nur einen Kubernetes-Namespace könnte dies ausnutzen, um die vollständige administrative Kontrolle über die gesamte GCP-Umgebung einer Organisation zu erlangen – also effektiv das gesamte Cloud-Konto zu übernehmen . O'Leary bewertete diese Schwachstelle mit CVSS 10.0 – der maximal möglichen Schwere .

Googles widersprüchliche Reaktion im Zeitverlauf

Der Fall ist seit fast drei Monaten offen, ohne dass ein Fix veröffentlicht oder eine Prämie gezahlt wurde .

1. Erste Annahme – „Nice catch!“
   Das Bug-Bounty-Team von Google stufte den Bericht zunächst als hohe Priorität / hohen Schweregrad ein, und ein Google-Vertreter lobte O'Leary mit einem „Nice catch!“ .

2. Prämie verweigert – „Working as intended“
   Google nahm seine Entscheidung später zurück, schloss den Bericht und erklärte das Verhalten für „working as intended“ – es sei keine gültige Schwachstelle im Sinne der Programmregeln. Es wurde keine Belohnung ausgezahlt .

3. Kein Fix, weiterhin offen
   Stand 18. Juni 2026 ist der Fehler weiterhin ungelöst. Google hat Config Connector nicht gepatcht und O'Leary keine Prämie angeboten .

Weiterer Kontext: Googles VRP-Überarbeitung 2026

Ende April / Anfang Mai 2026 überarbeitete Google seine Vulnerability Reward Programs für Chrome und Android und begründete dies mit einer Flut von KI-generierten Einsendungen .

• Chrome-Auszahlungen wurden gekürzt – Google strukturierte die Belohnungen um, um „umsetzbare“ und wirkungsvollere Fehler zu priorisieren, und reduzierte explizit die Belohnungen für weniger schwerwiegende Meldungen, die KI-Tools nun in Massen generieren können .
• Android-Höchstprämien stiegen – Die maximale Auszahlung für persistente Titan-M-Zero-Click-Exploits wurde auf 1,5 Millionen Dollar angehoben, um tiefe Hardware-Fehler zu adressieren, die KI nicht einfach finden kann .
• Google erklärte, es werde „einige Belohnungsbeträge und Boni für Android und Chrome reduzieren“, um sich auf „Qualität und reale Auswirkungen statt auf bloße Masse“ zu konzentrieren .

O'Learys Fall betrifft zwar das Cloud-VRP (nicht Chrome/Android), fügt sich aber in die wachsende Wahrnehmung unter Forschern ein, dass Google die Auszahlungen selbst für schwerwiegende, manuell entdeckte Fehler verschärft – zu einer Zeit, in der das Unternehmen öffentlich die Prämien aufgrund von KI-Rauschen kürzt .