Google отказал в выплате исследователю за критическую уязвимость Config Connector, которая до сих пор не исправлена
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами. Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы IAM и получить полный административный контроль над всем аккаунтом GCP организа...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами.
Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы IAM и получить полный административный контроль над всем аккаунтом GCP организации.
Уязвимость получила максимальный балл CVSS 10.0.
Google изначально принял отчет, оценил его как высокоприоритетный и похвалил исследователя («Nice catch!»), но затем отозвал решение, заявив, что это «работает как задумано».
Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnGoogle initially accepted a critical IAM bypass bug in Config Connector before denying the bounty and leaving the flaw unfixed.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, based primarily on The Register's exclusive report [8] and corroborated by other outlets [2][9].. Topic tags: general, general web, user generated, academic, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make i
openai.com
Вот полная история, основанная на эксклюзивном материале The Register и подтверждённая другими источниками .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Google отказал в выплате исследователю за критическую уязвимость Config Connector, которая до сих пор не исправлена»?
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами.
Какие ключевые моменты необходимо проверить в первую очередь?
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами. Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы IAM и получить полный административный контроль над всем аккаунтом GCP организации.
Google отказал в выплате исследователю за критическую уязвимость Config Connector, которая до сих пор не исправлена
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами. Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы IAM и получить полный административный контроль над всем аккаунтом GCP организа...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами.
Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы IAM и получить полный административный контроль над всем аккаунтом GCP организации.
Уязвимость получила максимальный балл CVSS 10.0.
Google изначально принял отчет, оценил его как высокоприоритетный и похвалил исследователя («Nice catch!»), но затем отозвал решение, заявив, что это «работает как задумано».
Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnGoogle initially accepted a critical IAM bypass bug in Config Connector before denying the bounty and leaving the flaw unfixed.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, based primarily on The Register's exclusive report [8] and corroborated by other outlets [2][9].. Topic tags: general, general web, user generated, academic, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make i
openai.com
Вот полная история, основанная на эксклюзивном материале The Register и подтверждённая другими источниками .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Google отказал в выплате исследователю за критическую уязвимость Config Connector, которая до сих пор не исправлена»?
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами.
Какие ключевые моменты необходимо проверить в первую очередь?
Исследователь Джастин О’Лири обнаружил критическую уязвимость в GCP Config Connector — Kubernetes операторе Google для управления облачными ресурсами. Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы IAM и получить полный административный контроль над всем аккаунтом GCP организации.
Уязвимость: обход авторизации IAM в Config Connector
Исследователь безопасности Джастин О’Лири (Justin O’Leary) обнаружил критическую уязвимость повышения привилегий в Config Connector от Google. Это Kubernetes-оператор (инструмент), который позволяет организациям управлять ресурсами GCP (облачное хранилище, базы данных, политики IAM) через команды Kubernetes .
Техническая деталь: Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы управления доступом (IAM) Google Cloud Platform. Разработчик с базовым доступом всего к одному namespace может получить полный административный контроль над всей облачной средой организации — по сути, получить доступ ко всему облачному аккаунту . О’Лири оценил эту уязвимость в CVSS 10.0 — максимально возможный балл серьезности .
Противоречивая реакция Google: хронология
Дело остаётся открытым уже почти три месяца: патч не выпущен, вознаграждение не выплачено .
Первоначальное принятие — «Отличная находка!»
Команда bug bounty Google изначально триажировала отчет, присвоила ему статус высокого приоритета / высокой серьезности, а представитель Google похвалил О’Лири фразой «Nice catch!» .
Отказ в выплате — «Работает как задумано»
Позже Google изменил решение: закрыл отчёт, заявив, что такое поведение «работает как задумано» (working as intended), и, следовательно, не является валидной уязвимостью по правилам программы. Никакого вознаграждения выплачено не было .
Исправления нет, уязвимость открыта
По состоянию на 18 июня 2026 года проблема остаётся нерешённой. Google не выпустил патч для Config Connector и не предложил О’Лири никакой выплаты .
Контекст: пересмотр Google VRP в 2026 году
В конце апреля — начале мая 2026 года Google провёл масштабную реформу программ вознаграждения за уязвимости (VRP) для Chrome и Android, сославшись на наплыв AI-сгенерированных отчётов.
Выплаты за Chrome снижены — Google перестроил вознаграждения, сосредоточившись на «практически применимых» и более серьёзных багах, и явно сократил выплаты за менее значимые уязвимости, которые AI-инструменты теперь могут генерировать массово .
Награды за Android выросли — Максимальная выплата за сложные zero-click эксплойты для чипа Titan M достигла $1,5 миллиона в попытке стимулировать поиск глубоких, аппаратных уязвимостей, которые AI пока не способен найти .
Google заявил, что «сокращает размер некоторых вознаграждений и бонусов в Android и Chrome», чтобы сфокусироваться на «качестве и реальном влиянии, а не на количестве» .
Хотя случай О’Лири относится к VRP для облачных сервисов (Cloud VRP), а не к Chrome или Android, он усиливает впечатление исследователей, что Google ужесточает выплаты даже за серьёзные, вручную найденные уязвимости — особенно на фоне публичного сокращения бонусов из-за «шума» от AI-отчётов .
cloud.google.com使用 IAM 保護資源存取權 | Config Connector Documentation | Google Cloud
Уязвимость: обход авторизации IAM в Config Connector
Исследователь безопасности Джастин О’Лири (Justin O’Leary) обнаружил критическую уязвимость повышения привилегий в Config Connector от Google. Это Kubernetes-оператор (инструмент), который позволяет организациям управлять ресурсами GCP (облачное хранилище, базы данных, политики IAM) через команды Kubernetes .
Техническая деталь: Уязвимость позволяет любому пользователю пространства имен Kubernetes обойти механизмы управления доступом (IAM) Google Cloud Platform. Разработчик с базовым доступом всего к одному namespace может получить полный административный контроль над всей облачной средой организации — по сути, получить доступ ко всему облачному аккаунту . О’Лири оценил эту уязвимость в CVSS 10.0 — максимально возможный балл серьезности .
Противоречивая реакция Google: хронология
Дело остаётся открытым уже почти три месяца: патч не выпущен, вознаграждение не выплачено .
Первоначальное принятие — «Отличная находка!»
Команда bug bounty Google изначально триажировала отчет, присвоила ему статус высокого приоритета / высокой серьезности, а представитель Google похвалил О’Лири фразой «Nice catch!» .
Отказ в выплате — «Работает как задумано»
Позже Google изменил решение: закрыл отчёт, заявив, что такое поведение «работает как задумано» (working as intended), и, следовательно, не является валидной уязвимостью по правилам программы. Никакого вознаграждения выплачено не было .
Исправления нет, уязвимость открыта
По состоянию на 18 июня 2026 года проблема остаётся нерешённой. Google не выпустил патч для Config Connector и не предложил О’Лири никакой выплаты .
Контекст: пересмотр Google VRP в 2026 году
В конце апреля — начале мая 2026 года Google провёл масштабную реформу программ вознаграждения за уязвимости (VRP) для Chrome и Android, сославшись на наплыв AI-сгенерированных отчётов.
Выплаты за Chrome снижены — Google перестроил вознаграждения, сосредоточившись на «практически применимых» и более серьёзных багах, и явно сократил выплаты за менее значимые уязвимости, которые AI-инструменты теперь могут генерировать массово .
Награды за Android выросли — Максимальная выплата за сложные zero-click эксплойты для чипа Titan M достигла $1,5 миллиона в попытке стимулировать поиск глубоких, аппаратных уязвимостей, которые AI пока не способен найти .
Google заявил, что «сокращает размер некоторых вознаграждений и бонусов в Android и Chrome», чтобы сфокусироваться на «качестве и реальном влиянии, а не на количестве» .
Хотя случай О’Лири относится к VRP для облачных сервисов (Cloud VRP), а не к Chrome или Android, он усиливает впечатление исследователей, что Google ужесточает выплаты даже за серьёзные, вручную найденные уязвимости — особенно на фоне публичного сокращения бонусов из-за «шума» от AI-отчётов .
cloud.google.com使用 IAM 保護資源存取權 | Config Connector Documentation | Google Cloud
cloud.google.com使用 IAM 保护对资源的访问 | Config Connector Documentation | Google Cloud
docs.cloud.google.comSecuring access to resources with IAM | Config Connector | Google Cloud Documentation