La vulnerabilidad: omisión de autorización IAM en Config Connector

El investigador de seguridad Justin O'Leary descubrió una falla crítica de escalada de privilegios en Config Connector de Google —un operador de Kubernetes (una herramienta) que permite a las organizaciones gestionar recursos de GCP (como almacenamiento en la nube, bases de datos, políticas IAM) a través de comandos de Kubernetes .

Detalle técnico: La falla permite que cualquier usuario de un namespace de Kubernetes omita los controles de Identity and Access Management (IAM) de Google Cloud Platform. Un desarrollador con acceso básico a un solo namespace de Kubernetes podría explotar esto para obtener control administrativo total sobre todo el entorno GCP de una organización —de hecho, apoderarse de toda la cuenta en la nube . O'Leary calificó esta vulnerabilidad con un CVSS 10.0 —la máxima severidad posible .

La contradictoria respuesta de Google

El caso lleva casi tres meses abierto sin que se haya emitido una solución ni pagado ninguna recompensa .

1. Aceptación inicial — "¡Buen trabajo!"
   El equipo de bug bounty de Google inicialmente trió el reporte, lo categorizó como de alta prioridad / alta severidad, y un representante de Google elogió a O'Leary con un "¡Buen trabajo!" .

2. Recompensa denegada — "Funciona según lo previsto"
   Google luego dio marcha atrás, cerró el reporte y declaró que el comportamiento era "funciona según lo previsto" —es decir, no se consideraba una vulnerabilidad válida según las reglas del programa. No se emitió ninguna recompensa .

3. Sin corrección, aún abierto
   Hasta el 18 de junio de 2026, la falla sigue sin resolverse. Google no ha parcheado Config Connector y no le ha ofrecido ninguna recompensa a O'Leary .

Contexto más amplio: la reestructuración de los VRP de Google en 2026

A finales de abril / principios de mayo de 2026, Google reestructuró sus Programas de Recompensa por Vulnerabilidades (VRP) para Chrome y Android, citando un aumento en las presentaciones generadas por IA .

• Se redujeron los pagos de Chrome — Google reestructuró las recompensas para priorizar los errores "accionables" y de mayor impacto, reduciendo explícitamente las recompensas por reportes de menor impacto que las herramientas de IA ahora pueden generar en masa .
• Aumentaron las recompensas máximas de Android — El pago máximo por exploits persistentes de Titan M de tipo zero-click se elevó a $1.5 millones, apuntando a errores profundos a nivel de hardware que la IA no puede encontrar fácilmente .
• Google declaró que está "reduciendo algunos montos de recompensa y bonificaciones en Android y Chrome" para centrarse en "la calidad y el impacto en el mundo real por encima del mero volumen" .

El caso de O'Leary, aunque se enmarca en el VRP de la Nube (no en el de Chrome/Android), alimenta una percepción creciente entre los investigadores de que Google está ajustando los pagos incluso para fallas graves descubiertas manualmente —justo cuando la empresa está recortando recompensas públicamente debido al ruido de la IA .

La vulnerabilidad: omisión de autorización IAM en Config Connector

El investigador de seguridad Justin O'Leary descubrió una falla crítica de escalada de privilegios en Config Connector de Google —un operador de Kubernetes (una herramienta) que permite a las organizaciones gestionar recursos de GCP (como almacenamiento en la nube, bases de datos, políticas IAM) a través de comandos de Kubernetes .

Detalle técnico: La falla permite que cualquier usuario de un namespace de Kubernetes omita los controles de Identity and Access Management (IAM) de Google Cloud Platform. Un desarrollador con acceso básico a un solo namespace de Kubernetes podría explotar esto para obtener control administrativo total sobre todo el entorno GCP de una organización —de hecho, apoderarse de toda la cuenta en la nube . O'Leary calificó esta vulnerabilidad con un CVSS 10.0 —la máxima severidad posible .

La contradictoria respuesta de Google

El caso lleva casi tres meses abierto sin que se haya emitido una solución ni pagado ninguna recompensa .

1. Aceptación inicial — "¡Buen trabajo!"
   El equipo de bug bounty de Google inicialmente trió el reporte, lo categorizó como de alta prioridad / alta severidad, y un representante de Google elogió a O'Leary con un "¡Buen trabajo!" .

2. Recompensa denegada — "Funciona según lo previsto"
   Google luego dio marcha atrás, cerró el reporte y declaró que el comportamiento era "funciona según lo previsto" —es decir, no se consideraba una vulnerabilidad válida según las reglas del programa. No se emitió ninguna recompensa .

3. Sin corrección, aún abierto
   Hasta el 18 de junio de 2026, la falla sigue sin resolverse. Google no ha parcheado Config Connector y no le ha ofrecido ninguna recompensa a O'Leary .

Contexto más amplio: la reestructuración de los VRP de Google en 2026

A finales de abril / principios de mayo de 2026, Google reestructuró sus Programas de Recompensa por Vulnerabilidades (VRP) para Chrome y Android, citando un aumento en las presentaciones generadas por IA .

• Se redujeron los pagos de Chrome — Google reestructuró las recompensas para priorizar los errores "accionables" y de mayor impacto, reduciendo explícitamente las recompensas por reportes de menor impacto que las herramientas de IA ahora pueden generar en masa .
• Aumentaron las recompensas máximas de Android — El pago máximo por exploits persistentes de Titan M de tipo zero-click se elevó a $1.5 millones, apuntando a errores profundos a nivel de hardware que la IA no puede encontrar fácilmente .
• Google declaró que está "reduciendo algunos montos de recompensa y bonificaciones en Android y Chrome" para centrarse en "la calidad y el impacto en el mundo real por encima del mero volumen" .

El caso de O'Leary, aunque se enmarca en el VRP de la Nube (no en el de Chrome/Android), alimenta una percepción creciente entre los investigadores de que Google está ajustando los pagos incluso para fallas graves descubiertas manualmente —justo cuando la empresa está recortando recompensas públicamente debido al ruido de la IA .