Google के Config Connector में CVSS 10.0 की खामी, रिसर्चर को बाउंटी से किया गया वंचित

यह है पूरी कहानी, जो मुख्य रूप से द रजिस्टर की एक्सक्लूसिव रिपोर्ट और अन्य आउटलेट्स पर आधारित है।

कमजोरी: Config Connector IAM ऑथराइजेशन बायपास

सुरक्षा शोधकर्ता जस्टिन ओ'लियरी ने Google के Config Connector में एक गंभीर विशेषाधिकार-वृद्धि (privilege-escalation) दोष की खोज की। Config Connector एक Kubernetes ऑपरेटर (एक टूल) है जो संगठनों को Kubernetes कमांड के माध्यम से GCP संसाधनों (जैसे क्लाउड स्टोरेज, डेटाबेस, IAM नीतियां) को प्रबंधित करने की अनुमति देता है ।

तकनीकी विवरण: यह दोष किसी भी Kubernetes नेमस्पेस उपयोगकर्ता को Google क्लाउड प्लेटफ़ॉर्म के Identity and Access Management (IAM) नियंत्रणों को बायपास करने की अनुमति देता है। एक डेवलपर जिसके पास सिर्फ एक Kubernetes नेमस्पेस तक बुनियादी पहुंच है, वह इसका फायदा उठाकर पूरे संगठन के GCP एन्वायरनमेंट पर पूर्ण प्रशासनिक नियंत्रण प्राप्त कर सकता है - प्रभावी रूप से पूरे क्लाउड अकाउंट पर कब्जा कर सकता है । ओ'लियरी ने इस भेद्यता को CVSS 10.0 रेटिंग दी, जो अधिकतम संभव गंभीरता है ।

Google की विरोधाभासी प्रतिक्रिया समयरेखा

यह मामला लगभग तीन महीने से खुला है, जिसमें न तो कोई फिक्स जारी किया गया है और न ही कोई बाउंटी का भुगतान किया गया है ।

1. शुरुआती स्वीकृति - "Nice catch!"
   Google की बग बाउंटी टीम ने शुरू में रिपोर्ट को ट्राइएज किया, इसे उच्च प्राथमिकता / उच्च गंभीरता के रूप में वर्गीकृत किया, और एक Google प्रतिनिधि ने ओ'लियरी की "Nice catch!" कहकर प्रशंसा की ।

2. बाउंटी से इनकार - "Working as intended"
   बाद में Google ने अपना फैसला बदल दिया, रिपोर्ट बंद कर दी, और इस व्यवहार को "कार्यात्मक" (working as intended) घोषित कर दिया - जिसका अर्थ है कि इसे प्रोग्राम नियमों के तहत एक मान्य भेद्यता नहीं माना गया। कोई इनाम जारी नहीं किया गया ।

3. कोई फिक्स नहीं, अभी भी खुला
   18 जून, 2026 तक, यह दोष अनसुलझा बना हुआ है। Google ने Config Connector को पैच नहीं किया है और ओ'लियरी को कोई बाउंटी नहीं दी है ।

व्यापक संदर्भ: Google का 2026 VRP ओवरहाल

अप्रैल/मई 2026 के अंत में, Google ने Chrome और Android के लिए अपने वल्नरेबिलिटी रिवॉर्ड प्रोग्राम्स (VRP) में बदलाव किया, जिसका कारण AI-जनित सबमिशन में वृद्धि को बताया गया ।

• Chrome के भुगतान में कटौती: Google ने पुरस्कारों को पुनर्गठित किया ताकि 'कार्रवाई योग्य' और उच्च-प्रभाव वाले बग को प्राथमिकता दी जा सके, और स्पष्ट रूप से कम-प्रभाव वाली रिपोर्टों के लिए पुरस्कार कम कर दिए, जिन्हें AI उपकरण अब बड़ी मात्रा में उत्पन्न कर सकते हैं ।
• Android के शीर्ष पुरस्कार बढ़े: लगातार Titan M जीरो-क्लिक एक्सप्लॉइट के लिए अधिकतम भुगतान बढ़ाकर $1.5 मिलियन कर दिया गया, जो गहरे हार्डवेयर-स्तर के बग को लक्षित करता है जिन्हें AI आसानी से नहीं ढूंढ सकता ।
• Google ने कहा कि वह "गुणवत्ता और वास्तविक दुनिया के प्रभाव पर ध्यान केंद्रित करने" के लिए "Android और Chrome में कुछ रिवॉर्ड राशि और बोनस कम कर रहा है" ।

ओ'लियरी का मामला, जबकि क्लाउड VRP (Chrome/Android नहीं) में है, शोधकर्ताओं के बीच एक बढ़ती धारणा को बढ़ावा देता है कि Google AI शोर के कारण सार्वजनिक रूप से बाउंटी में कटौती करने के समय, मैन्युअल रूप से खोजे गए गंभीर दोषों के लिए भी भुगतान कस रहा है ।