Google a ricercatore di sicurezza: 'Bel colpo', poi il dietrofront sul premio

Google si trova al centro di una controversia legata alla gestione delle vulnerabilità, dopo aver inizialmente riconosciuto un grave difetto di sicurezza in un operatore Kubernetes, salvo poi negare la sua esistenza e il relativo compenso.

Il ricercatore Justin O'Leary, esperto di cloud security, ha segnalato a Google una falla che consente a qualsiasi utente di un namespace Kubernetes di aggirare le protezioni Identity and Access Management (IAM) di Google Cloud Platform (GCP), ottenendo così il controllo completo delle risorse cloud di un'intera organizzazione. Il problema è stato battezzato ConfigConfusion.

La vulnerabilità, individuata in Config Connector - un add-on open source di Kubernetes che permette di gestire le risorse Google Cloud tramite Kubernetes - deriva da una mancata verifica di autorizzazione. Secondo O'Leary e quanto riportato da The Register, un account di servizio Config Connector con permessi a livello di organizzazione può bypassare l'autorizzazione IAM e ottenere il massimo livello di controllo (ruolo/proprietario) su un'intera organizzazione GCP, ovvero il nodo radice di tutte le risorse aziendali all'interno di Google Cloud.

"Bel colpo": Google sulla scoperta di una falla di sicurezza, ma nega il premio al ricercatore

Google ha reagito al report di O'Leary l'8 marzo, assegnando alla falla una priorità P1 e una gravità S1, e quindi indicando una correzione urgente necessaria per problemi che incidono su un'ampia percentuale di utenti e possono interrompere le funzioni organizzative principali. Il 27 marzo, un ingegnere della sicurezza di Google ha accettato ufficialmente il report, complimentandosi con O'Leary con un "Nice catch!" e assicurando che il team di prodotto avrebbe lavorato per risolvere il problema e avrebbe avvisato il ricercatore al momento della correzione, invitandolo a verificare le opzioni di pagamento per il bounty.

Solo undici giorni dopo, il 7 aprile, la situazione è cambiata radicalmente. O'Leary ha ricevuto un messaggio automatico da un bot di sicurezza di Google che revocava la decisione precedente. Il messaggio stabiliva che l'impatto sulla sicurezza del problema non rispettava i criteri per un reward e che il software "stava funzionando come previsto". Nonostante questo dietrofront, il report del bug rimane classificato come P1/S1 e il suo stato è ancora "in progress (accepted)". Ad oggi, Google non ha assegnato un CVE né rilasciato una patch, e O'Leary non ha ricevuto alcun compenso.

Interpellato da The Register, un portavoce di Google ha spiegato che la vulnerabilità non è idonea per un premio perché il bypass dell'autorizzazione IAM di GCP sarebbe sfruttabile solo se un attaccante avesse già accesso a un account di servizio Config Connector con ruolo privilegiato. Inoltre, un aggressore dovrebbe prima ottenere l'accesso all'ambiente dell'organizzazione (ad esempio, un container esposto) per sfruttare l'istanza privilegiata di Config Connector ed eseguire comandi con autorità amministrativa. Google ha sottolineato che concedere questo livello di accesso all'account di servizio Config Connector va contro le migliori pratiche pubbliche di Google Cloud e il principio del minimo privilegio.

O'Leary respinge questa spiegazione. Ammette che l'account di servizio Config Connector necessita di permessi a livello di organizzazione per gestire le risorse tra più cluster GKE, e che la stessa documentazione di Google istruisce gli utenti su come farlo. Il punto chiave, però, risiede nella sua argomentazione: "avere quei permessi non significa che qualsiasi utente di un namespace debba essere in grado di abusarne".

La vulnerabilità, sottolinea, è proprio la mancata verifica di autorizzazione: Config Connector esegue operazioni privilegiate per conto degli utenti senza verificare che questi siano autorizzati. Il caso alimenta qualche dubbio sulla trasparenza e la gestione dei bug bounty da parte delle grandi aziende tecnologiche. O'Leary ha commentato la situazione con un certo scetticismo: "Questo è un modello. È così che queste aziende da trilioni di dollari trattano persone come me." Una percezione che, nel lungo periodo, potrebbe compromettere la collaborazione con la comunità di ricercatori indipendenti, spingendoli verso percorsi meno "responsabili".