Google hat seinem Cloud Vulnerability Reward Program (VRP) eine Prämie von 250.000 US-Dollar für schwerwiegende architektonische Sicherheitslücken hinzugefügt. Dazu zählen das Umgehen der Mandantenisolierung und komplexe Fehler über mehrere Dienste hinweg, die einem Angreifer die vollständige administrative Kontrolle über Google-Cloud-Organisationen oder -Projekte verschaffen könnten.

Um sich zu qualifizieren, müssen Forschende die Kontrolle nachweisen, die der Berechtigung „roles/owner“ entspricht, oder die vollständige IAM-Kontrolle über beliebige Organisationen oder Projekte erlangen – ohne vorherigen Zugriff oder eine spezielle Projekteinrichtung. Der Exploit darf weder auf kompromittierten Zugangsdaten noch auf Social Engineering oder einer Interaktion durch Nutzer beruhen.

Google-Cloud-CISO Chris Betz sagte, dass auch Meldungen geprüft werden, die eine Remotecodeausführung in der zugrunde liegenden Produktionsinfrastruktur des Unternehmens, bekannt als Borg, oder das Erlangen von Root-Zugriff in der Produktionsumgebung nachweisen. Forschende, denen die Ausführung von Code auf der Produktionsinfrastruktur gelingt, müssen ihre Tests einstellen: Eine weitere Rechteausweitung, Versuche, Zugangsdaten für die Produktionsumgebung zu erhalten, oder laterale Bewegungen sind verboten und können zum Ausschluss führen.

Google zufolge sollten Forschende keine Tests in realen Kundenprojekten durchführen. Stattdessen wurde ein deterministisches Proof-of-Root-Verfahren eingeführt, das ein dafür vorgesehenes Dienstkonto verwendet und es Forschenden ermöglicht, unbefugten Zugriff kryptografisch nachzuweisen. Die Programmregeln enthalten Spezifikationen für Endpunkte, JSON-Payloads und Beispiele für Befehlszeilen.

Die erweiterte Prämie folgt auf Googles Entscheidung, im Oktober die Einreichung von Meldungen für sein Open Source Software Vulnerability Rewards Program auszusetzen, nachdem eine Flut KI-generierter Meldungen eingegangen war. Seit dem Start seines ersten Programms für Sicherheitsprämien im Jahr 2010 hat Google nach eigenen Angaben mehr als 81,6 Millionen US-Dollar an Forschende ausgezahlt. Im Jahr 2025 vergab das Unternehmen 17,1 Millionen US-Dollar an mehr als 700 Forschende, gegenüber 12 Millionen US-Dollar im Jahr 2024.

Quellen: BleepingComputer.