Google từ chối tiền thưởng cho lỗ hổng Config Connector chưa được vá
"A security researcher discovered a flaw in Google's Config Connector Kubernetes add-on allowing potential GCP IAM bypass and root access to cloud resources. Google initially acknowledged the high-priority/severity bug but later denied a bug bounty, claiming the issue was 'working as intended' despite the report remaining open. No CVE has been assigned and a fix has not been implemented."
Lỗ hổng cho phép bỏ qua IAM và giành quyền root access trên tài nguyên GCP, có thể dẫn đến data breach nghiêm trọng.
Doanh nghiệp có thể mất quyền kiểm soát cơ sở hạ tầng đám mây và dữ liệu quan trọng. Việc vá lỗ hổng chậm trễ làm tăng rủi ro bảo mật.
Google xác nhận một lỗ hổng trong Config Connector, add-on Kubernetes, cho phép bỏ qua quyền IAM của GCP và truy cập root vào tài nguyên đám mây. Tuy nhiên, sau khi ban đầu đánh giá đây là lỗi nghiêm trọng, Google lại từ chối trả tiền thưởng cho nhà nghiên cứu bảo mật Justin O'Leary, cho rằng đây là "hoạt động như dự kiến".
Config Connector là add-on open source cho phép quản lý tài nguyên Google Cloud thông qua Kubernetes. Lỗ hổng này, được O'Leary đặt tên là ConfigConfusion, cho phép bất kỳ người dùng namespace Kubernetes nào bỏ qua kiểm soát Identity and Access Management (IAM) và giành quyền roles/owner trên toàn bộ tổ chức GCP. Google ban đầu đánh giá đây là lỗi P1/S1 (ưu tiên cao/mức độ nghiêm trọng cao) và khen O'Leary "Nice catch!".
Tuy nhiên, sau đó Google cho rằng lỗ hổng này không đủ điều kiện nhận thưởng vì kẻ tấn công cần quyền truy cập vào Config Connector Service Account đã được cấp quyền quản trị tổ chức. Google cũng nhấn mạnh việc cấp quyền này đi ngược lại các best practice của họ. Dù vậy, báo cáo lỗi vẫn đang ở trạng thái "in progress (accepted)" và chưa có CVE nào được gán hoặc bản vá nào được phát hành. O'Leary đã công bố chi tiết về lỗ hổng này trên blog cá nhân https://theregister.com/2024/06/18/google_config_connector_bug_bounty/.
Đây không phải lần đầu tiên O'Leary gặp tình huống tương tự. Trước đó, Microsoft cũng từ chối thưởng cho ông sau khi ông phát hiện lỗ hổng leo thang đặc quyền trong Azure Backup for AKS và sau đó vá lỗ hổng này một cách âm thầm.
Câu hỏi thường gặp
Config Connector là gì?
Config Connector là add-on Kubernetes mã nguồn mở cho phép quản lý tài nguyên Google Cloud thông qua Kubernetes. Nó giúp tự động hóa việc cấu hình và quản lý cơ sở hạ tầng đám mây.
Lỗ hổng này ảnh hưởng đến những ai?
Lỗ hổng này ảnh hưởng đến bất kỳ tổ chức nào sử dụng Config Connector và cấp quyền quản trị tổ chức cho Config Connector Service Account. Kẻ tấn công có thể bỏ qua kiểm soát IAM và giành quyền root.
Google đã phản hồi như thế nào?
Google cho rằng lỗ hổng này không đủ điều kiện nhận thưởng vì kẻ tấn công cần quyền truy cập đặc quyền. Tuy nhiên, báo cáo lỗi vẫn đang ở trạng thái "in progress" và chưa có bản vá nào được phát hành.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Google từ chối trả tiền thưởng dù vẫn chưa vá lỗ hổng có thể gây khó khăn cho các doanh nghiệp Việt Nam sử dụng GKE. Các doanh nghiệp nên xem xét lại cấu hình quyền truy cập cho Config Connector Service Account, đảm bảo tuân thủ nguyên tắc least privilege. Điều đáng chú ý là việc Google không giải thích rõ lý do báo cáo vẫn ở trạng thái "in progress" cho thấy sự thiếu minh bạch trong quy trình xử lý lỗ hổng bảo mật.