Kerentanan: Bypass Otorisasi IAM Config Connector

Peneliti keamanan Justin O'Leary menemukan sebuah celah eskalasi hak istimewa yang kritis di Config Connector Google—sebuah operator Kubernetes (alat) yang memungkinkan organisasi mengelola sumber daya GCP (seperti cloud storage, database, kebijakan IAM) melalui perintah Kubernetes .

Detail teknis: Celah ini memungkinkan pengguna Kubernetes namespace mana pun untuk melewati kontrol Identity and Access Management (IAM) Google Cloud Platform. Seorang pengembang dengan akses dasar ke satu namespace Kubernetes saja dapat mengeksploitasi celah ini untuk mendapatkan kendali administratif penuh atas seluruh lingkungan GCP organisasi—pada dasarnya memiliki seluruh akun cloud . O'Leary memberikan nilai kerentanan ini CVSS 10.0—tingkat keparahan maksimum yang mungkin .

Garis Waktu Respons Google yang Kontradiktif

Kasus ini telah berlangsung selama hampir tiga bulan tanpa perbaikan yang dikeluarkan dan tanpa bounty yang dibayarkan .

1. Penerimaan awal—"Nice catch!"
   Tim bug bounty Google awalnya melakukan triase pada laporan tersebut, mengkategorikannya sebagai prioritas tinggi / severitas tinggi, dan seorang perwakilan Google memuji O'Leary dengan "Nice catch!" .

2. Bounty ditolak—"Bekerja sesuai rancangan"
   Google kemudian berbalik arah, menutup laporan, dan menyatakan perilaku tersebut "bekerja sesuai rancangan"—artinya ini tidak dianggap sebagai kerentanan yang valid berdasarkan aturan program. Tidak ada hadiah yang diberikan .

3. Tidak ada perbaikan, masih terbuka
   Per 18 Juni 2026, celah tersebut masih belum terselesaikan. Google belum menambal Config Connector dan belum menawarkan bounty apa pun kepada O'Leary .

Konteks Lebih Luas: Perombakan VRP Google 2026

Pada akhir April / awal Mei 2026, Google merombak program Vulnerability Reward Programs (VRP) untuk Chrome dan Android, dengan alasan lonjakan pengiriman yang dihasilkan AI .

• Pembayaran Chrome dipotong—Google merestrukturisasi hadiah untuk memprioritaskan bug yang "dapat ditindaklanjuti" dan berdampak lebih tinggi, secara eksplisit mengurangi hadiah untuk laporan berdampak rendah yang kini dapat dihasilkan oleh alat AI secara massal .
• Hadiah Android meningkat—Pembayaran maksimum untuk eksploitasi Titan M zero-click dinaikkan menjadi $1,5 juta, menargetkan bug tingkat perangkat keras yang tidak dapat ditemukan AI dengan mudah .
• Google menyatakan bahwa mereka "mengurangi beberapa jumlah hadiah dan bonus di seluruh Android dan Chrome" untuk fokus pada "kualitas dan dampak dunia nyata daripada volume belaka" .

Kasus O'Leary, meskipun berada di bawah Cloud VRP (bukan Chrome/Android), memperkuat persepsi yang berkembang di kalangan peneliti bahwa Google memperketat pembayaran bahkan untuk kerentanan parah yang ditemukan secara manual—di saat perusahaan secara terbuka memotong bounty karena kebisingan AI .

Kerentanan: Bypass Otorisasi IAM Config Connector

Peneliti keamanan Justin O'Leary menemukan sebuah celah eskalasi hak istimewa yang kritis di Config Connector Google—sebuah operator Kubernetes (alat) yang memungkinkan organisasi mengelola sumber daya GCP (seperti cloud storage, database, kebijakan IAM) melalui perintah Kubernetes .

Detail teknis: Celah ini memungkinkan pengguna Kubernetes namespace mana pun untuk melewati kontrol Identity and Access Management (IAM) Google Cloud Platform. Seorang pengembang dengan akses dasar ke satu namespace Kubernetes saja dapat mengeksploitasi celah ini untuk mendapatkan kendali administratif penuh atas seluruh lingkungan GCP organisasi—pada dasarnya memiliki seluruh akun cloud . O'Leary memberikan nilai kerentanan ini CVSS 10.0—tingkat keparahan maksimum yang mungkin .

Garis Waktu Respons Google yang Kontradiktif

Kasus ini telah berlangsung selama hampir tiga bulan tanpa perbaikan yang dikeluarkan dan tanpa bounty yang dibayarkan .

1. Penerimaan awal—"Nice catch!"
   Tim bug bounty Google awalnya melakukan triase pada laporan tersebut, mengkategorikannya sebagai prioritas tinggi / severitas tinggi, dan seorang perwakilan Google memuji O'Leary dengan "Nice catch!" .

2. Bounty ditolak—"Bekerja sesuai rancangan"
   Google kemudian berbalik arah, menutup laporan, dan menyatakan perilaku tersebut "bekerja sesuai rancangan"—artinya ini tidak dianggap sebagai kerentanan yang valid berdasarkan aturan program. Tidak ada hadiah yang diberikan .

3. Tidak ada perbaikan, masih terbuka
   Per 18 Juni 2026, celah tersebut masih belum terselesaikan. Google belum menambal Config Connector dan belum menawarkan bounty apa pun kepada O'Leary .

Konteks Lebih Luas: Perombakan VRP Google 2026

Pada akhir April / awal Mei 2026, Google merombak program Vulnerability Reward Programs (VRP) untuk Chrome dan Android, dengan alasan lonjakan pengiriman yang dihasilkan AI .

• Pembayaran Chrome dipotong—Google merestrukturisasi hadiah untuk memprioritaskan bug yang "dapat ditindaklanjuti" dan berdampak lebih tinggi, secara eksplisit mengurangi hadiah untuk laporan berdampak rendah yang kini dapat dihasilkan oleh alat AI secara massal .
• Hadiah Android meningkat—Pembayaran maksimum untuk eksploitasi Titan M zero-click dinaikkan menjadi $1,5 juta, menargetkan bug tingkat perangkat keras yang tidak dapat ditemukan AI dengan mudah .
• Google menyatakan bahwa mereka "mengurangi beberapa jumlah hadiah dan bonus di seluruh Android dan Chrome" untuk fokus pada "kualitas dan dampak dunia nyata daripada volume belaka" .

Kasus O'Leary, meskipun berada di bawah Cloud VRP (bukan Chrome/Android), memperkuat persepsi yang berkembang di kalangan peneliti bahwa Google memperketat pembayaran bahkan untuk kerentanan parah yang ditemukan secara manual—di saat perusahaan secara terbuka memotong bounty karena kebisingan AI .