Google sanoi ”Hieno löytö”, mutta kielsi palkkion kriittisestä haavoittuvuudesta, jota ei ole vieläkään korjattu

Kriittinen tietoturva-aukko Googlen Config Connector -työkalussa – Kubernetes-operaattori, jota käytetään Google Cloud Platform (GCP) -resurssien hallintaan – on noussut kasvavan kohun keskelle Googlen bugipalkkioiden käytännöistä. Tietoturvatutkija Justin O’Leary löysi haavoittuvuuden, joka on saanut CVSS-asteikolla maksimiarvon 10.0, ja ilmoitti siitä Googlen bugipalkkio-ohjelmaan. Tiimi hyväksyi ilmoituksen alun perin, merkitsi sen korkean prioriteetin haavoittuvuudeksi ja kehui O’Learya sanoilla 'Hieno löytö!' . Sen jälkeen Google muutti kantaansa, totesi toiminnon olevan 'tarkoituksenmukainen', kielsi palkkion ja jätti haavoittuvuuden korjaamatta lähes kolmeksi kuukaudeksi . Tapaus on herättänyt kysymyksiä Googlen sitoutumisesta tietoturvatutkimukseen – erityisesti samaan aikaan, kun yhtiö uudistaa bugipalkkio-ohjelmiaan vedoten tekoälyn tuottamien ilmoitusten tulvaan .

Miten Config Connector toimii ja missä se pettää

Config Connector on Kubernetes-operaattori, jonka avulla organisaatiot voivat hallita GCP-resursseja – kuten pilvitallennustilaa, tietokantoja ja IAM-käytäntöjä – Kubernetes-komentojen avulla . Sen tarkoituksena on yhdistää työkalut: voit luoda, päivittää ja poistaa pilviresursseja kubectl-työkalulla, tutulla Kubernetes-komentorivityökalulla .

O’Leary havaitsi, että tähän yhtenäistettyyn lähestymistapaan liittyy vaarallinen sivuvaikutus. Haavoittuvuus mahdollistaa sen, että mikä tahansa Kubernetes-nimiavaruuden käyttäjä voi ohittaa Google Cloud Platformin Identity and Access Management (IAM) -hallinnan. Kehittäjä, jolla on perustason pääsy yhteen Kubernetes-nimiavaruuteen, voi hyödyntää tätä saadakseen täyden hallinnan koko organisaation GCP-ympäristöstä – käytännössä omistaa koko pilvitilin . O’Leary kertoi The Register -julkaisulle, että hyökkäys voidaan suorittaa noin viidessä sekunnissa jättämättä jälkeä lokeihin .

Tekninen mekanismi: ylitys nimiavaruuksien välillä

Vaikka Google ei ole julkaissut yksityiskohtaista teknistä kuvausta, useat lähteet ja O’Learyn raportointi viittaavat siihen, että haavoittuvuus liittyy siihen, miten Config Connector käsittelee IAM-oikeuksia eri Kubernetes-nimiavaruuksien välillä .

Oikein konfiguroidussa monivuokralaisessa GKE-klusterissa eri nimiavaruuksien pitäisi olla eristettyjä – käyttäjän nimiavaruudessa A ei pitäisi pystyä hallitsemaan resursseja nimiavaruudessa B tai myöntämään itselleen korotettuja GCP-rooleja. O’Learyn löytö osoittaa, että Config Connectorin IAM-resurssityypit eivät valvo näitä nimiavaruusrajoja . Luomalla tai muokkaamalla IAM-käytäntöresurssia Config Connectorin kautta yhdestä nimiavaruudesta käsin, käyttäjä, jolla on minimaaliset Kubernetes-oikeudet, voi myöntää itselleen roles/owner-roolin GCP-projektissa – tai koko organisaatiossa .

Tämä on vähimmän oikeuden periaatteen vastaista ja suora IAM-valtuutuskerroksen ohitus. Kyseessä ei ole väärinkonfiguraatio, jonka ylläpitäjä voisi korjata; se on suunnittelutason virhe siinä, miten Config Connector delegoi IAM-valtuudet .

Aikajana: 'Hieno löytö' - 'tarkoituksenmukainen toiminto'

The Registerin 18. kesäkuuta 2026 julkaiseman yksinoikeusraportin ja muiden lähteiden mukaan aikajana eteni seuraavasti:

• Noin maalis-huhtikuu 2026: O’Leary löytää haavoittuvuuden ja lähettää yksityiskohtaisen raportin Googlen Cloud Vulnerability Reward Program (Cloud VRP) -ohjelmaan. Raportti sisältää proof-of-conceptin, joka osoittaa, miten hyökkääjä voi nostaa oikeuksiaan nimiavaruuden käyttäjästä GCP-organisaation omistajaksi .
• Alustava käsittely: Googlen bugipalkkiotiimi arvioi ilmoituksen, luokittelee sen korkean prioriteetin ja vakavuuden haavoittuvuudeksi, ja Googlen edustaja vastaa henkilökohtaisesti sanoilla 'Hieno löytö!' .
• ~Touko-kesäkuu 2026: Ilman korjausta Google muuttaa kantaansa. Yritys sulkee raportin ja toteaa, että toiminto on 'tarkoituksenmukainen' – eli se ei täytä Cloud VRP -sääntöjen haavoittuvuuden määritelmää. Palkkiota ei makseta .
• 18. kesäkuuta 2026: Haavoittuvuus on edelleen korjaamatta. O’Learyn bugiraportti on kuitenkin edelleen merkitty 'korkea prioriteetti' ja 'hyväksytty' Googlen seurantajärjestelmässä – ilmeinen ristiriita . Tapaus on ollut avoinna lähes kolme kuukautta .

Miksi Google on saattanut kieltää palkkion

Google ei ole julkisesti selittänyt kannanmuutostaan, mutta useat tekijät voivat vaikuttaa asiaan Cloud VRP -sääntöjen ja Googlen vuoden 2026 ohjelmamuutosten laajemman kontekstin perusteella.

Viralliset Cloud VRP -säännöt toteavat: 'Google Cloud -haavoittuvuusraportit, joissa on testattu asiakkaan omistamia resursseja, eivät ole oikeutettuja palkkioihin.' Ohjelman soveltamisala on nimenomaisesti rajoitettu Googlen omistaman infrastruktuurin ja palveluiden haavoittuvuuksiin, ei asiakkaan konfiguroitaviin komponentteihin . Jos Google katsoo Config Connectorin toiminnon olevan asiakkaan konfiguraatiokysymys eikä tuotteen haavoittuvuus, se voi teknisesti kieltää palkkion tämän kielenkäytön perusteella – vaikka toiminto ohittaisi odotetut IAM-hallinnat.

Toinen mahdollisuus: Cloud VRP -säännöt määrittelevät, että ohjelma kattaa 'todennus- tai valtuutusvirheet' soveltamisalaan kuuluvissa kohteissa, minkä pitäisi kattaa O’Learyn löytö . Mutta Google on aiemmin väittänyt muissa yhteyksissä, että tietyt oikeuksien korotukset eivät ole virheitä, jos ne vaativat tiettyjä oikeuksia toimiakseen – kanta, joka on herättänyt kritiikkiä tutkijoilta . O’Learyn tapauksessa vaadittu alkuperäinen oikeus (nimiavaruustason pääsy Config Connector -resursseihin) on minimaalinen ja yleisesti myönnetty kehittäjille, mikä tekee korotuksesta sekä todellisen että vaarallisen .

Kolmas tekijä liittyy Googlen vuoden 2026 Vulnerability Reward Program -uudistukseen Chromelle ja Androidille. Huhtikuun lopulla ja toukokuun alussa 2026 Google ilmoitti leikkaavansa Chrome-palkkioita ja uudistavansa palkkioita vedoten tekoälyn tuottamien huonolaatuisten ilmoitusten tulvaan . Yritys totesi, että se 'vähentää joitakin palkkiosummia ja bonuksia Androidin ja Chromen osalta' keskittyäkseen 'laatuun ja todelliseen vaikutukseen määrän sijaan' . Vaikka O’Learyn tapaus kuuluu erilliseen Cloud VRP -ohjelmaan, ei Chrome- tai Android-ohjelmiin, yrityksen julkinen kanta palkkioiden kiristämisestä on saattanut vaikuttaa päätökseen – erityisesti jos Google näki Config Connector -ongelman suunnitteluvalintana eikä virheenä .

Kasvava tutkijoiden vastustus

Tapaus on herättänyt kritiikkiä tietoturvatutkijoiden keskuudessa, ja jotkut väittävät Googlen käyttävän tekoälyilmoitusten narratiivia verukkeena kieltääkseen oikeutetut, manuaalisesti löydetyt haavoittuvuudet . PC Perspective -julkaisun kommentti kutsui päätöstä 'saitaaksi bugipalkkioiden suhteen' ja huomautti ristiriidasta Googlen alun perin antaman kehun ja lopullisen kieltäytymisen välillä . Cyber News Live korosti, että haavoittuvuus voi mahdollistaa viiden sekunnin haltuunoton ilman jäljelle jäävää tietoa .

Tapaus sattuu myös samaan aikaan, kun Google samanaikaisesti nostaa huippupalkkioita tietyille Android-virhekategorioille – jopa 1,5 miljoonaan dollariin jatkuvista Titan M -napsautuksettomista hyökkäyksistä . Tämä kaksijakoinen lähestymistapa – syvien laitteistohyökkäysten runsas palkitseminen ja samalla tunnustuksen kieltäminen vakavista pilvi-IAM-ohituksista – on ruokkinut käsitystä, että Googlen bugipalkkio-ohjelmat allokoivat strategisesti budjetteja sen sijaan, että ne arvioisivat riskiä rehellisesti .

Mitä tämä tarkoittaa Config Connectoria käyttäville organisaatioille

Config Connectoria monivuokralaisissa tai jaetuissa GKE-klustereissa käyttävien organisaatioiden tulisi kohdella tätä kiireellisenä, korjaamattomana riskinä. Ilman Googlen virallista korjausta seuraavilla lievennyksillä voidaan vähentää altistumista:

• Rajoita iam*-resurssien luomista nimiavaruustasolla käyttämällä Kubernetes RBAC -käytäntöjä. Älä myönnä create, update tai Delete -oikeuksia IAMPolicy, IAMPolicyMember tai IAMPartialPolicy -mukautetuille resursseille luottamattomiin nimiavaruuksiin.
• Käytä nimiavaruustilan Config Connectoria erillisillä, vähäoikeuksisilla palvelutileillä nimiavaruutta kohden. Googlen dokumentaatio tukee tätä konfiguraatiota, mikä rajoittaa räjähdysaluetta .
• Seuraa GCP IAM -muutoksia Config Connector -alkuperistä. Ota käyttöön audit-lokit ja aseta hälytyksille kaikista setIamPolicy-kutsuista, jotka ovat peräisin GKE-klusteristasi.
• Harkitse Config Connectorin poistamista käytöstä ympäristöissä, joissa monivuokralaisten eristys on tarpeen, kunnes Google ratkaisee haavoittuvuuden.

Googlen virallinen dokumentaatio resurssien suojaamisesta IAM:llä kuvaa suositeltuja konfiguraatioita, mutta ei käsittele nimiavaruuksien välistä ohitusvektoria, joka on O’Learyn raportin ytimessä . Organisaatioiden tulisi olettaa, että niiden Config Connector -asennukset voivat olla haavoittuvia.

Keskeiset huomiot

• Googlen Config Connectorin pääsynkorotushaavoittuvuus (CVSS 10.0) mahdollistaa minkä tahansa Kubernetes-nimiavaruuden käyttäjän saavan täyden omistajuuden GCP-projektiin.
• Googlen bugipalkkiotiimi hyväksyi raportin alun perin korkean prioriteetin haavoittuvuutena, mutta muutti sitten kantaansa ja totesi sen olevan 'tarkoituksenmukainen' toiminto ja kielsi palkkion.
• Lähes kolme kuukautta alkuperäisen raportin jälkeen haavoittuvuus on edelleen korjaamatta ilman Googlen korjausaikataulua.
• Tapaus sattuu Googlen laajempien vuoden 2026 ohjelmamuutosten keskellä, jotka leikkaavat Chrome-palkkioita ja nostavat Android-palkkioita, mikä monimutkaistaa yrityksen suhdetta tietoturvatutkijoihin.