AnswersPublished17 sources
תפוס את הבאג, אבל בלי פרס: גוגל סירבה לתגמל חוקר על פרצת אבטחה קריטית בענן — ואז קיצצה תגמולי Chrome
חוקר האבטחה ג'סטין אולירי גילה פרצת עקיפת הרשאות (ConfigConfusion) ב Config Connector של Google Cloud המדורגת CVSS 10.0. גוגל אישרה תחילה את הדיווח, הגדירה את הבאג כקריטי (P1/S1) ואמרה "תפיסה יפה!", אך לאחר מכן הפכה את ההחלטה וסירבה לשלם פרס בטענה שהמערכת "פועלת כמתוכנן".
10K0
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, drawn primarily from The Register's exclusive reporting and supporting sources.. Topic tags: general, government, documentation, general web, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illust
אחת הפרשיות התמוהות ביותר במדיניות האבטחה השנה: גוגל סירבה לשלם פרס כספי לחוקר שגילה פרצת אבטחה קריטית ב-Cloud Config Connector שלה — לאחר שתחילה שיבחה אותו וסיווגה את הפגיעות בחומרה המקסימלית. הפרשה, שדווחה לראשונה על ידי The Register, מעוררת תהיות בקהילת האבטחה לגבי מחויבותה של גוגל לאמון החוקרים והטיפול שלה בתקלות ענן.
פגיעות ConfigConfusion
חוקר האבטחה ג'סטין אולירי גילה פגם קריטי ב-Config Connector, תוסף Kubernetes בקוד פתוח המאפשר לארגונים לנהל את כל סביבת Google Cloud שלהם באמצעות Kubernetes . הוא כינה את הפרצה ConfigConfusion.
פרטים טכניים: Config Connector לא מבצע בדיקת הרשאות כאשר משתמש במרחב שמות (namespace) של Kubernetes מנסה לנהל משאבי GCP. הדבר מאפשר לכל חשבון שירות של Config Connector בעל הרשאות ברמת הארגון לעקוף את בקרות ניהול הזהויות והגישה (IAM) של GCP ולהסלים להרמה הגבוהה ביותר של שליטה — roles/owner — על כל ארגון GCP, שהוא הצומת העליון של כל משאבי החברה ב-Google Cloud . אולירי מדרג את הפרצה כ-CVSS 10.0, ציון החומרה המקסימלי, מכיוון שתוקף עם גישה בסיסית למרחב שמות של Kubernetes יכול לקבל שליטה מנהלתית מלאה על כל סביבת הענן של הארגון וכל הנתונים המאוחסנים בה
.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
People also ask
What is the short answer to "תפוס את הבאג, אבל בלי פרס: גוגל סירבה לתגמל חוקר על פרצת אבטחה קריטית בענן — ואז קיצצה תגמולי Chrome"?
חוקר האבטחה ג'סטין אולירי גילה פרצת עקיפת הרשאות (ConfigConfusion) ב Config Connector של Google Cloud המדורגת CVSS 10.0.
What are the key points to validate first?
חוקר האבטחה ג'סטין אולירי גילה פרצת עקיפת הרשאות (ConfigConfusion) ב Config Connector של Google Cloud המדורגת CVSS 10.0. גוגל אישרה תחילה את הדיווח, הגדירה את הבאג כקריטי (P1/S1) ואמרה "תפיסה יפה!", אך לאחר מכן הפכה את ההחלטה וסירבה לשלם פרס בטענה שהמערכת "פועלת כמתוכנן".
What should I do next in practice?
הפרצה נותרה לא מתוקנת למעלה משלושה חודשים, ובמקביל גוגל הודיעה על קיצוץ בתגמולי Chrome עקב גל דיווחים מבוססי בינה מלאכותית.
Sources
- theregister.comGoogle told researcher 'Nice catch!' Then denied bug bounty for flaw ...
- pcper.comGreat, Now Google Is Getting Miserly On Bug Bounties - PC Perspective
- letsdatascience.comAI Powers Rapid Exploit Discovery, Outpacing Patch Response
- securityweek.comGoogle Adjusts Bug Bounties: Chrome Payouts Drop as ...
- androidauthority.comGoogle will pay you $1.5M if you can hack Pixel's Titan M2 chip
Loading comments...
Comments
0 comments