La vulnérabilité : un contournement de l'autorisation IAM dans Config Connector

Le chercheur en sécurité Justin O'Leary a découvert une faille critique d'escalade de privilèges dans Config Connector de Google — un opérateur Kubernetes qui permet aux organisations de gérer les ressources GCP (comme le stockage cloud, les bases de données, les politiques IAM) via des commandes Kubernetes .

Détail technique : La faille permet à tout utilisateur d'un namespace Kubernetes de contourner les contrôles Identity and Access Management (IAM) de Google Cloud Platform. Un développeur disposant d'un accès basique à un seul namespace Kubernetes pourrait exploiter cette faille pour obtenir un contrôle administratif complet sur l'ensemble de l'environnement GCP d'une organisation — prenant ainsi possession de tout le compte cloud . O'Leary a évalué cette vulnérabilité avec un score CVSS 10.0 — le maximum possible .

La chronologie contradictoire de la réponse de Google

Le dossier est ouvert depuis près de trois mois sans correctif ni prime versée .

1. Acceptation initiale — « Beau travail ! »
   L'équipe de bug bounty de Google a d'abord trié le rapport, l'a classé comme haute priorité / haute sévérité et un représentant de Google a félicité O'Leary avec un « Nice catch! » .

2. Prime refusée — « Comportement voulu »
   Google est ensuite revenu sur sa décision, a fermé le rapport et a déclaré que le comportement était « working as intended » (fonctionne comme prévu) — ce qui signifie qu'il n'était pas considéré comme une vulnérabilité valide selon les règles du programme. Aucune récompense n'a été versée .

3. Pas de correctif, dossier toujours ouvert
   Au 18 juin 2026, la faille reste non résolue. Google n'a pas corrigé Config Connector et n'a offert aucune prime à O'Leary .

Contexte plus large : la refonte des VRPs de Google en 2026

Fin avril / début mai 2026, Google a revu en profondeur ses Vulnerability Reward Programs (VRP) pour Chrome et Android, invoquant une vague de soumissions générées par l'IA .

• Les primes Chrome ont été réduites — Google a restructuré les récompenses pour privilégier les bugs « actionnables » et à fort impact, réduisant explicitement les récompenses pour les rapports à faible impact que les outils d'IA peuvent désormais générer en masse .
• Les récompenses Android ont augmenté — Le paiement maximal pour les exploits zero-click persistants sur Titan M a été porté à 1,5 million de dollars, ciblant les bugs matériels complexes que l'IA ne trouve pas facilement .
• Google a déclaré qu'il « réduisait certains montants de récompenses et bonus sur Android et Chrome » pour se concentrer sur « la qualité et l'impact réel plutôt que sur le volume pur » .

Le cas d'O'Leary, bien que relevant du Cloud VRP (et non de Chrome/Android), alimente la perception croissante chez les chercheurs que Google resserre ses paiements, même pour des failles graves découvertes manuellement — à un moment où l'entreprise réduit publiquement les primes à cause du bruit généré par l'IA .

La vulnérabilité : un contournement de l'autorisation IAM dans Config Connector

Le chercheur en sécurité Justin O'Leary a découvert une faille critique d'escalade de privilèges dans Config Connector de Google — un opérateur Kubernetes qui permet aux organisations de gérer les ressources GCP (comme le stockage cloud, les bases de données, les politiques IAM) via des commandes Kubernetes .

Détail technique : La faille permet à tout utilisateur d'un namespace Kubernetes de contourner les contrôles Identity and Access Management (IAM) de Google Cloud Platform. Un développeur disposant d'un accès basique à un seul namespace Kubernetes pourrait exploiter cette faille pour obtenir un contrôle administratif complet sur l'ensemble de l'environnement GCP d'une organisation — prenant ainsi possession de tout le compte cloud . O'Leary a évalué cette vulnérabilité avec un score CVSS 10.0 — le maximum possible .

La chronologie contradictoire de la réponse de Google

Le dossier est ouvert depuis près de trois mois sans correctif ni prime versée .

1. Acceptation initiale — « Beau travail ! »
   L'équipe de bug bounty de Google a d'abord trié le rapport, l'a classé comme haute priorité / haute sévérité et un représentant de Google a félicité O'Leary avec un « Nice catch! » .

2. Prime refusée — « Comportement voulu »
   Google est ensuite revenu sur sa décision, a fermé le rapport et a déclaré que le comportement était « working as intended » (fonctionne comme prévu) — ce qui signifie qu'il n'était pas considéré comme une vulnérabilité valide selon les règles du programme. Aucune récompense n'a été versée .

3. Pas de correctif, dossier toujours ouvert
   Au 18 juin 2026, la faille reste non résolue. Google n'a pas corrigé Config Connector et n'a offert aucune prime à O'Leary .

Contexte plus large : la refonte des VRPs de Google en 2026

Fin avril / début mai 2026, Google a revu en profondeur ses Vulnerability Reward Programs (VRP) pour Chrome et Android, invoquant une vague de soumissions générées par l'IA .

• Les primes Chrome ont été réduites — Google a restructuré les récompenses pour privilégier les bugs « actionnables » et à fort impact, réduisant explicitement les récompenses pour les rapports à faible impact que les outils d'IA peuvent désormais générer en masse .
• Les récompenses Android ont augmenté — Le paiement maximal pour les exploits zero-click persistants sur Titan M a été porté à 1,5 million de dollars, ciblant les bugs matériels complexes que l'IA ne trouve pas facilement .
• Google a déclaré qu'il « réduisait certains montants de récompenses et bonus sur Android et Chrome » pour se concentrer sur « la qualité et l'impact réel plutôt que sur le volume pur » .

Le cas d'O'Leary, bien que relevant du Cloud VRP (et non de Chrome/Android), alimente la perception croissante chez les chercheurs que Google resserre ses paiements, même pour des failles graves découvertes manuellement — à un moment où l'entreprise réduit publiquement les primes à cause du bruit généré par l'IA .