答案已發布5 個月前Last edited 5 個月前17 來源

Google「你好嘢」變「正常運作」— CVSS 10.0漏洞賞金被拒，三個月未修

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。 Google最初在2026年3月27日接受報告並讚好「Nice Catch!」，列為P1最高優先級和S1最嚴重等級，但11日後於4月7日由安全Bot改口稱「正常運作」拒絕發放任何賞金。

發布者使用 DeepSeek-V4-Flash 編輯圖片由 GPT Image 1.5 生成

使用 Studio Global AI 搜尋並查核事實瀏覽更多熱門頁面

研究答案

重點

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。
Google最初在2026年3月27日接受報告並讚好「Nice Catch!」，列為P1最高優先級和S1最嚴重等級，但11日後於4月7日由安全Bot改口稱「正常運作」拒絕發放任何賞金。
截至2026年6月中，漏洞已超過三個月仍未修復，Google內部錯誤追蹤器仍標記為「處理中（已接受）」，與公開立場矛盾。
同一時間，Google在2026年5月初大幅調整Chrome和Android漏洞賞金計劃，以AI導致大量低質提交為由削減Chrome賞金，Android最高賞金升至150萬美元，被批評為雙重標準。

Abstract illustration of a Kubernetes cluster with a lock being bypassed by an unauthorized user, representing the ConfigConfusion IAM bypass vulnerability in Google Cloud Config C — Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnThe ConfigConfusion vulnerability allows a Kubernetes namespace user to bypass GCP IAM controls and escalate to full organization-level admin rights.
AI 提示
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, drawn primarily from The Register's exclusive reporting and supporting sources.. Topic tags: general, government, documentation, general web, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illust
openai.com

今年其中一個最令人困惑嘅安全政策逆轉事件：Google拒絕為一個嚴重、未修復嘅Cloud Config Connector漏洞發放賞金——最初明明讚賞研究員，仲將漏洞評為最高嚴重等級。呢件事由《The Register》率先報道，令安全社群質疑Google對研究員信任嘅承諾，以及佢哋處理雲端基建漏洞嘅手法。

ConfigConfusion漏洞

安全研究員Justin O'Leary發現Config Connector有一個嚴重漏洞，Config Connector係一個開放原始碼嘅Kubernetes插件，讓機構可以透過Kubernetes管理整個Google Cloud環境。佢將呢個漏洞命名為ConfigConfusion。

技術細節： Config Connector喺Kubernetes命名空間用戶嘗試管理GCP資源時，冇進行授權檢查。呢個漏洞容許任何具有組織級權限嘅Config Connector服務帳戶繞過GCP嘅Identity and Access Management（IAM）控制，提升到最高控制級別——roles/owner——控制整個GCP組織，而組織係Google Cloud入面所有公司資源嘅根節點。O'Leary將呢個漏洞評為，係最高嚴重等級，因為攻擊者只要擁有一啲基本嘅Kubernetes命名空間存取權，就可以完全控制整個組織嘅雲端環境同所有儲存喺裏面嘅數據。

Studio Global AI

繼續你的研究

此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。

使用 Studio Global AI 搜尋並查核事實

人們還問

「Google「你好嘢」變「正常運作」— CVSS 10.0漏洞賞金被拒，三個月未修」的簡短答案是什麼？

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。

首先要驗證的關鍵點是什麼？

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。 Google最初在2026年3月27日接受報告並讚好「Nice Catch!」，列為P1最高優先級和S1最嚴重等級，但11日後於4月7日由安全Bot改口稱「正常運作」拒絕發放任何賞金。

接下來在實務上我該做什麼？

截至2026年6月中，漏洞已超過三個月仍未修復，Google內部錯誤追蹤器仍標記為「處理中（已接受）」，與公開立場矛盾。

來源

答案已發布5 個月前Last edited 5 個月前17 來源

Google「你好嘢」變「正常運作」— CVSS 10.0漏洞賞金被拒，三個月未修

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。 Google最初在2026年3月27日接受報告並讚好「Nice Catch!」，列為P1最高優先級和S1最嚴重等級，但11日後於4月7日由安全Bot改口稱「正常運作」拒絕發放任何賞金。

發布者使用 DeepSeek-V4-Flash 編輯圖片由 GPT Image 1.5 生成

使用 Studio Global AI 搜尋並查核事實瀏覽更多熱門頁面

研究答案

重點

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。
Google最初在2026年3月27日接受報告並讚好「Nice Catch!」，列為P1最高優先級和S1最嚴重等級，但11日後於4月7日由安全Bot改口稱「正常運作」拒絕發放任何賞金。
截至2026年6月中，漏洞已超過三個月仍未修復，Google內部錯誤追蹤器仍標記為「處理中（已接受）」，與公開立場矛盾。
同一時間，Google在2026年5月初大幅調整Chrome和Android漏洞賞金計劃，以AI導致大量低質提交為由削減Chrome賞金，Android最高賞金升至150萬美元，被批評為雙重標準。

Abstract illustration of a Kubernetes cluster with a lock being bypassed by an unauthorized user, representing the ConfigConfusion IAM bypass vulnerability in Google Cloud Config C — Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vulnThe ConfigConfusion vulnerability allows a Kubernetes namespace user to bypass GCP IAM controls and escalate to full organization-level admin rights.
AI 提示
Create a landscape editorial hero image for this Studio Global article: Searching with cited sources for What is the full story behind Google denying a bug bounty for a critical, unfixed GCP Config Connector vuln. Article summary: Here is the full story, drawn primarily from The Register's exclusive reporting and supporting sources.. Topic tags: general, government, documentation, general web, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illust
openai.com

今年其中一個最令人困惑嘅安全政策逆轉事件：Google拒絕為一個嚴重、未修復嘅Cloud Config Connector漏洞發放賞金——最初明明讚賞研究員，仲將漏洞評為最高嚴重等級。呢件事由《The Register》率先報道，令安全社群質疑Google對研究員信任嘅承諾，以及佢哋處理雲端基建漏洞嘅手法。

ConfigConfusion漏洞

安全研究員Justin O'Leary發現Config Connector有一個嚴重漏洞，Config Connector係一個開放原始碼嘅Kubernetes插件，讓機構可以透過Kubernetes管理整個Google Cloud環境。佢將呢個漏洞命名為ConfigConfusion。

技術細節： Config Connector喺Kubernetes命名空間用戶嘗試管理GCP資源時，冇進行授權檢查。呢個漏洞容許任何具有組織級權限嘅Config Connector服務帳戶繞過GCP嘅Identity and Access Management（IAM）控制，提升到最高控制級別——roles/owner——控制整個GCP組織，而組織係Google Cloud入面所有公司資源嘅根節點。O'Leary將呢個漏洞評為，係最高嚴重等級，因為攻擊者只要擁有一啲基本嘅Kubernetes命名空間存取權，就可以完全控制整個組織嘅雲端環境同所有儲存喺裏面嘅數據。

Studio Global AI

繼續你的研究

此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。

使用 Studio Global AI 搜尋並查核事實

人們還問

「Google「你好嘢」變「正常運作」— CVSS 10.0漏洞賞金被拒，三個月未修」的簡短答案是什麼？

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。

首先要驗證的關鍵點是什麼？

安全研究員Justin O'Leary發現Google Cloud Config Connector存在嚴重IAM授權繞過漏洞，命名為ConfigConfusion，評為CVSS 10.0最高風險等級。 Google最初在2026年3月27日接受報告並讚好「Nice Catch!」，列為P1最高優先級和S1最嚴重等級，但11日後於4月7日由安全Bot改口稱「正常運作」拒絕發放任何賞金。

接下來在實務上我該做什麼？

截至2026年6月中，漏洞已超過三個月仍未修復，Google內部錯誤追蹤器仍標記為「處理中（已接受）」，與公開立場矛盾。

來源