Un experto en seguridad ha descubierto un fallo en Config Connector, un complemento de Kubernetes gestionado por Google, que permitiría a cualquier usuario con acceso a un namespace de Kubernetes evitar los controles de identidad y acceso (IAM) en Google Cloud Platform (GCP), obteniendo así privilegios de administrador a nivel organizativo y control total sobre los recursos en la nube.
Justin O’Leary, investigador y cazador habitual de fallos en entornos cloud, informó de esta vulnerabilidad a Google el 8 de marzo. Inicialmente, la compañía valoró el informe con prioridad máxima (P1) y criticidad alta (S1), felicitando al investigador con un «¡Buen trabajo!» y confirmando que se tomarían medidas para solucionarlo.
No obstante, apenas once días después, Google revirtió su posición mediante un mensaje automatizado en el que afirmaba que el problema no constituía una vulnerabilidad susceptible de recibir una recompensa, alegando que el fallo solo podría explotarse si un atacante ya contase con acceso privilegiado a la cuenta de servicio de Config Connector. Según Google, esta configuración pertenece a un uso inapropiado contrario a las mejores prácticas y principios de menor privilegio.
A pesar de la falta de solución y recompensa, el informe sigue marcado como «en progreso» y con la máxima prioridad, sin que se haya asignado un identificador CVE ni publicado ninguna corrección a la fecha, casi tres meses después del aviso inicial.
O’Leary no considera válida esta explicación, ya que, según la documentación oficial de Google, el acceso de la cuenta de servicio de Config Connector a nivel organizativo es legítimo y necesario para gestionar múltiples clústeres con Kubernetes. El problema real radica en que la herramienta no comprueba adecuadamente la autorización del usuario que ejecuta acciones, permitiendo que un usuario con acceso limitado a un namespace pueda escalar privilegios hasta controlar toda la organización sin dejar rastro.
El investigador ha bautizado la vulnerabilidad como «ConfigConfusion» y ha publicado un vídeo demostrativo mostrando cómo, con apenas tres líneas de código YAML, un actor malicioso puede alcanzar control administrativo completo en unos cinco segundos. Esta técnica se basa en el problema de los «confused deputies» (delegados confundidos), donde un componente privilegiado ejecuta acciones en nombre de un usuario sin verificar si está autorizado.
Este tipo de vulnerabilidades ya fueron detectadas en otros servicios de Google Cloud, como Cloud Run y Cloud Composer, y solucionadas mediante la incorporación de comprobaciones de autorización. Sin embargo, Config Connector sigue siendo vulnerable a este tipo de ataques.
O’Leary lamenta la actitud de grandes tecnológicas que ignoran o minimizan estos hallazgos críticos, especialmente cuando se traducen en la imposibilidad de proteger adecuadamente los sistemas que millones de usuarios y organizaciones emplean diariamente.
