उत्तरप्रकाशित2 माह पहलेLast edited 2 माह पहले17 स्रोत

गूगल का उल्टा-फेरा: पहले 'शाबाश' फिर 'यह कोई बग नहीं', CVSS 10.0 के गंभीर क्लाउड दोष पर सिक्योरिटी बाउंटी से किया मना

सिक्योरिटी रिसर्चर जस्टिन ओ'लेरी ने Google Cloud Config Connector में एक गंभीर IAM ऑथराइज़ेशन बाईपास की खोज की, जिसे ConfigConfusion नाम दिया गया तथा CVSS 10.0 रेटिंग दी गई। [4] गूगल ने पहले इस बग को 'Nice Catch' बताते हुए P1/S1 रैंक दी, लेकिन 11 दिन बाद इसे 'Working as Intended' कहकर बाउंटी देने से मना कर दिया। [4]...

Studio Global AI के साथ खोजें और तथ्यों की जांच करें और ट्रेंडिंग पेज देखें

Abstract illustration of a Kubernetes cluster with a lock being bypassed by an unauthorized user, representing the ConfigConfusion IAM bypass vulnerability in Google Cloud Config C — Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnThe ConfigConfusion vulnerability allows a Kubernetes namespace user to bypass GCP IAM controls and escalate to full organization-level admin rights.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, drawn primarily from The Register's exclusive reporting and supporting sources.. Topic tags: general, government, documentation, general web, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illust
openai.com

यह वर्ष की सबसे हैरान करने वाली सुरक्षा नीति का उलटफेर है। गूगल ने अपने क्लाउड कॉन्फिग कनेक्टर में पाए गए एक गंभीर और अब तक अनफिक्स्ड बग (ConfigConfusion) के लिए सिक्योरिटी रिसर्चर को बग बाउंटी देने से इनकार कर दिया है - जबकि पहले कंपनी ने खुद इस फ्लॉ को सबसे गंभीर श्रेणी में रखा था। यह घटना सिक्योरिटी रिसर्चर जस्टिन ओ'लेरी द्वारा रिपोर्ट की गई है और इसने गूगल की रिसर्चर ट्रस्ट के प्रति प्रतिबद्धता और क्लाउड इंफ्रास्ट्रक्चर बग को संभालने के तरीके पर गंभीर सवाल खड़े कर दिए हैं। The Register की रिपोर्ट पर आधारित इस कहानी में कई विरोधाभास हैं।

ConfigConfusion: क्या है यह कमज़ोरी?

जस्टिन ओ'लेरी ने Config Connector (एक ओपन-सोर्स Kubernetes ऐड-ऑन) में एक गंभीर खामी खोजी। यह टूल कंपनियों को अपना पूरा Google Cloud एनवायरनमेंट Kubernetes से मैनेज करने देता है। ओ'लेरी ने इस बग का नाम ConfigConfusion रखा।

तकनीकी पहलू: Config Connector में ऑथराइज़ेशन चेक नहीं होता। इसका मतलब है कि कोई भी Kubernetes नेमस्पेस यूज़र GCP IAM कंट्रोल्स को बायपास करके roles/owner (सर्वोच्च नियंत्रण) तक पहुंच सकता है। इससे कंपनी के पूरे Google Cloud डेटा पर पूरी तरह कब्ज़ा संभव है। ओ'लेरी इसे CVSS 10.0 (अधिकतम खतरा) मानते हैं क्योंकि बेसिक एक्सेस वाला कोई भी हमलावर पूरे संगठन के क्लाउड एनवायरनमेंट पर कब्ज़ा कर सकता है।

गूगल का विरोधाभासी जवाब

गूगल की प्रतिक्रिया भी कम अजीब नहीं थी।

पहला चरण - 'Nice Catch!':

8 मार्च, 2026: ओ'लेरी ने बग रिपोर्ट किया।
27 मार्च: गूगल के सिक्योरिटी इंजीनियर ने रिपोर्ट स्वीकार की और कहा 'Nice Catch!'। उन्होंने लिखा कि वे प्रॉडक्ट टीम के साथ मिलकर इसे ठीक करेंगे। गूगल ने इसे P1 (सर्वोच्च प्राथमिकता) और S1 (गंभीर खतरा) का दर्जा दिया।

दूसरा चरण - 'Working as Intended':

7 अप्रैल (11 दिन बाद): एक ऑटोमेटिक बॉट ने ओ'लेरी को बताया कि क्लाउड वल्नरेबिलिटी रिवॉर्ड प्रोग्राम पैनल के अनुसार, "इस इश्यू का सिक्योरिटी इम्पैक्ट बाउंटी के योग्य नहीं है" और 'यह सॉफ्टवेयर वैसे ही काम कर रहा है' (Working as Intended)। गूगल ने कोई बाउंटी नहीं दी।

विरोधाभास: जून 2026 की रिपोर्ट के अनुसार, गूगल का अपना इंटरनल बग ट्रैकर ConfigConfusion को अब भी P1/S1 और 'इन प्रोग्रेस (एक्सेप्टेड)' दिखाता है - जो सार्वजनिक बयान 'कोई वल्नरेबिलिटी नहीं' से सीधा उलट है।

तीन महीने बाद भी अनसुलझा

मध्य जून 2026 तक - रिपोर्ट के तीन महीने बाद - यह खामी न तो ठीक हुई और न ही इसका कोई हल निकला। ओ'लेरी ने अपनी पूरी रिसर्च olearysec.com पर पब्लिश कर दी है।

2026 में गूगल के VRP में बदलाव

मई 2026 की शुरुआत में, गूगल ने अपने Chrome और Android वल्नरेबिलिटी रिवॉर्ड प्रोग्राम (VRP) में बड़े बदलाव किए। इसका सीधा कारण AI टूल्स से बग ढूंढने की बढ़ती प्रवृत्ति बताया गया।

मुख्य बदलाव:

Chrome के बाउंटी घटाए: AI के कारण कम क्वालिटी वाली रिपोर्टों की बाढ़ को देखते हुए गूगल ने Chrome के ज़्यादातर इनाम कम कर दिए।
Android के टॉप बाउंटी बढ़े: एक जीरो-क्लिक फुल-चेन Titan M2 हैक के लिए अब 1.5 मिलियन डॉलर तक का इनाम है।
सीवीई में चार गुना वृद्धि: Chrome की सीवीई पब्लिकेशन 2025 में 52 से बढ़कर 2026 में 252 हो गई, जिसे गूगल ने AI द्वारा जनरेट की गई रिपोर्ट का सबूत बताया।

आलोचकों का कहना है कि गूगल एक तरफ AI के शोर के चलते Chrome के बाउंटी काट रहा है, और दूसरी तरफ एक मानव रिसर्चर द्वारा बारीकी से रिपोर्ट किए गए CVSS 10.0 के क्लाउड बग को 'Working as Intended' बताकर नकार रहा है। यह फैसला सिक्योरिटी कम्युनिटी में गूगल की विश्वसनीयता को नुकसान पहुंचा रहा है।

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

Studio Global AI के साथ खोजें और तथ्यों की जांच करें

लोग पूछते भी हैं