Google disse 'Boa pegada!' e depois negou recompensa por falha que ainda não corrigiu
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9] Falha permite que qualquer usuário de namespace Kubernetes burle controles IAM e assuma controle total da conta GCP corporativa [8][9] Google inicialmente aceitou o relato como '...
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9]
Falha permite que qualquer usuário de namespace Kubernetes burle controles IAM e assuma controle total da conta GCP corporativa [8][9]
Google inicialmente aceitou o relato como 'alta prioridade/alta severidade' e elogiou o pesquisador com 'Nice catch!' [2][8]
Depois, Google reverteu decisão, classificou o comportamento como 'working as intended' e negou o pagamento da recompensa [2][8]
Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnGoogle initially accepted a critical IAM bypass bug in Config Connector before denying the bounty and leaving the flaw unfixed.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, based primarily on The Register's exclusive report [8] and corroborated by other outlets [2][9].. Topic tags: general, general web, user generated, academic, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make i
openai.com
Esta é a história completa do caso que expõe contradições no programa de bug bounty do Google, baseada principalmente em reportagem exclusiva do The Register e corroborada por outros veículos .
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Google disse 'Boa pegada!' e depois negou recompensa por falha que ainda não corrigiu"?
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9]
Quais são os pontos-chave para validar primeiro?
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9] Falha permite que qualquer usuário de namespace Kubernetes burle controles IAM e assuma controle total da conta GCP corporativa [8][9]
O que devo fazer a seguir na prática?
Google inicialmente aceitou o relato como 'alta prioridade/alta severidade' e elogiou o pesquisador com 'Nice catch!' [2][8]
Google disse 'Boa pegada!' e depois negou recompensa por falha que ainda não corrigiu
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9] Falha permite que qualquer usuário de namespace Kubernetes burle controles IAM e assuma controle total da conta GCP corporativa [8][9] Google inicialmente aceitou o relato como '...
Publicado porEditado com DeepSeek-V4-FlashImagens geradas com GPT Image 1.5
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9]
Falha permite que qualquer usuário de namespace Kubernetes burle controles IAM e assuma controle total da conta GCP corporativa [8][9]
Google inicialmente aceitou o relato como 'alta prioridade/alta severidade' e elogiou o pesquisador com 'Nice catch!' [2][8]
Depois, Google reverteu decisão, classificou o comportamento como 'working as intended' e negou o pagamento da recompensa [2][8]
Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnGoogle initially accepted a critical IAM bypass bug in Config Connector before denying the bounty and leaving the flaw unfixed.
Prompt de IA
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, based primarily on The Register's exclusive report [8] and corroborated by other outlets [2][9].. Topic tags: general, general web, user generated, academic, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make i
openai.com
Esta é a história completa do caso que expõe contradições no programa de bug bounty do Google, baseada principalmente em reportagem exclusiva do The Register e corroborada por outros veículos .
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
Qual é a resposta curta para "Google disse 'Boa pegada!' e depois negou recompensa por falha que ainda não corrigiu"?
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9]
Quais são os pontos-chave para validar primeiro?
Pesquisador Justin O'Leary descobriu vulnerabilidade de escalonamento de privilégio (CVSS 10.0) no Config Connector do Google Cloud [8][9] Falha permite que qualquer usuário de namespace Kubernetes burle controles IAM e assuma controle total da conta GCP corporativa [8][9]
O que devo fazer a seguir na prática?
Google inicialmente aceitou o relato como 'alta prioridade/alta severidade' e elogiou o pesquisador com 'Nice catch!' [2][8]
A Vulnerabilidade: Bypass de Autorização IAM no Config Connector
O pesquisador de segurança Justin O'Leary descobriu uma falha crítica de escalonamento de privilégio no Config Connector do Google Cloud — um operador Kubernetes que permite gerenciar recursos do Google Cloud Platform (GCP) como armazenamento, bancos de dados e políticas IAM usando comandos do Kubernetes .
Detalhe técnico: A falha permite que qualquer usuário de um namespace Kubernetes burle os controles de Identity and Access Management (IAM) do Google Cloud. Um desenvolvedor com acesso básico a apenas um namespace Kubernetes poderia explorar isso para obter controle administrativo total sobre todo o ambiente GCP de uma organização — na prática, assumindo o controle de toda a conta na nuvem . O'Leary classificou a vulnerabilidade como CVSS 10.0 — a nota máxima de severidade .
Linha do Tempo da Resposta Conflitante do Google
O caso está aberto há quase três meses sem correção e sem recompensa paga .
Aceitação inicial — 'Nice catch!'
O time de bug bounty do Google inicialmente triou o relato, categorizou-o como alta prioridade / alta severidade, e um representante elogiou O'Leary com um 'Nice catch!' .
Recompensa negada — 'Working as intended'
O Google depois reverteu a decisão, fechou o relato e declarou que o comportamento era 'working as intended' — ou seja, não era considerado uma vulnerabilidade válida segundo as regras do programa. Nenhuma recompensa foi emitida .
Sem correção, ainda aberto
Em 18 de junho de 2026, a falha ainda não foi resolvida. O Google não corrigiu o Config Connector e não ofereceu recompensa a O'Leary .
Contexto Maior: A Reforma dos VRPs do Google em 2026
No final de abril/início de maio de 2026, o Google reformulou seus Programas de Recompensa por Vulnerabilidades (VRP) para Chrome e Android, citando um aumento de submissões geradas por IA.
Pagamentos do Chrome foram cortados — O Google reestruturou as recompensas para priorizar bugs 'acionáveis' e de maior impacto, reduzindo explicitamente recompensas para relatos de baixo impacto que ferramentas de IA podem gerar em massa .
Recompensas máximas do Android subiram — O pagamento máximo para exploits zero-click persistentes no Titan M subiu para US$ 1,5 milhão, mirando bugs profundos de hardware que a IA não encontra facilmente .
O Google declarou que está 'reduzindo alguns valores de recompensa e bônus no Android e Chrome' para focar em 'qualidade e impacto real em vez de volume' .
O caso de O'Leary, embora no Cloud VRP (não no Chrome/Android), alimenta uma percepção crescente entre pesquisadores de que o Google está apertando os pagamentos mesmo para falhas graves descobertas manualmente — justamente quando a empresa corta recompensas publicamente devido ao ruído de IA .
cloud.google.com使用 IAM 保護資源存取權 | Config Connector Documentation | Google Cloud
A Vulnerabilidade: Bypass de Autorização IAM no Config Connector
O pesquisador de segurança Justin O'Leary descobriu uma falha crítica de escalonamento de privilégio no Config Connector do Google Cloud — um operador Kubernetes que permite gerenciar recursos do Google Cloud Platform (GCP) como armazenamento, bancos de dados e políticas IAM usando comandos do Kubernetes .
Detalhe técnico: A falha permite que qualquer usuário de um namespace Kubernetes burle os controles de Identity and Access Management (IAM) do Google Cloud. Um desenvolvedor com acesso básico a apenas um namespace Kubernetes poderia explorar isso para obter controle administrativo total sobre todo o ambiente GCP de uma organização — na prática, assumindo o controle de toda a conta na nuvem . O'Leary classificou a vulnerabilidade como CVSS 10.0 — a nota máxima de severidade .
Linha do Tempo da Resposta Conflitante do Google
O caso está aberto há quase três meses sem correção e sem recompensa paga .
Aceitação inicial — 'Nice catch!'
O time de bug bounty do Google inicialmente triou o relato, categorizou-o como alta prioridade / alta severidade, e um representante elogiou O'Leary com um 'Nice catch!' .
Recompensa negada — 'Working as intended'
O Google depois reverteu a decisão, fechou o relato e declarou que o comportamento era 'working as intended' — ou seja, não era considerado uma vulnerabilidade válida segundo as regras do programa. Nenhuma recompensa foi emitida .
Sem correção, ainda aberto
Em 18 de junho de 2026, a falha ainda não foi resolvida. O Google não corrigiu o Config Connector e não ofereceu recompensa a O'Leary .
Contexto Maior: A Reforma dos VRPs do Google em 2026
No final de abril/início de maio de 2026, o Google reformulou seus Programas de Recompensa por Vulnerabilidades (VRP) para Chrome e Android, citando um aumento de submissões geradas por IA.
Pagamentos do Chrome foram cortados — O Google reestruturou as recompensas para priorizar bugs 'acionáveis' e de maior impacto, reduzindo explicitamente recompensas para relatos de baixo impacto que ferramentas de IA podem gerar em massa .
Recompensas máximas do Android subiram — O pagamento máximo para exploits zero-click persistentes no Titan M subiu para US$ 1,5 milhão, mirando bugs profundos de hardware que a IA não encontra facilmente .
O Google declarou que está 'reduzindo alguns valores de recompensa e bônus no Android e Chrome' para focar em 'qualidade e impacto real em vez de volume' .
O caso de O'Leary, embora no Cloud VRP (não no Chrome/Android), alimenta uma percepção crescente entre pesquisadores de que o Google está apertando os pagamentos mesmo para falhas graves descobertas manualmente — justamente quando a empresa corta recompensas publicamente devido ao ruído de IA .
cloud.google.com使用 IAM 保護資源存取權 | Config Connector Documentation | Google Cloud
cloud.google.com使用 IAM 保护对资源的访问 | Config Connector Documentation | Google Cloud
docs.cloud.google.comSecuring access to resources with IAM | Config Connector | Google Cloud Documentation