Google Cloud: Sicherheitslücke in Kubernetes Config Connector bedroht GCP-Organisationen

Security · 23.9.2026

Eine Schwachstelle im Google Kubernetes Config Connector ermöglicht es Angreifern mit minimalen Rechten, die Kontrolle über gesamte GCP-Infrastrukturen zu übernehmen.

Sicherheitsexperten haben eine kritische Schwachstelle in der Integration von Kubernetes und der Google Cloud Platform (GCP) identifiziert. Durch das Ausnutzen von Berechtigungen des Google Kubernetes Config Connectors (KCC) können Angreifer mit minimalen Rechten innerhalb eines Kubernetes-Clusters die Kontrolle über eine gesamte GCP-Organisation erlangen. Dieses sogenannte "Confused Deputy"-Problem ermöglicht es, über eine manipulierte YAML-Datei weitreichende administrative Rechte im Cloud-System zu kapern.

Warum ist das wichtig?

Für Unternehmen im DACH-Raum, die auf hybride Cloud-Szenarien oder Multi-Cloud-Strategien setzen, stellt dieses Szenario ein erhebliches Sicherheitsrisiko dar. Viele IT-Abteilungen nutzen Kubernetes-Cluster, um containerisierte Anwendungen zu orchestrieren, und verknüpfen diese über offizielle Konnektoren mit ihrer globalen Cloud-Infrastruktur. Wenn die Trennung zwischen der Container-Ebene und der übergeordneten Cloud-Verwaltungsebene versagt, hebelt dies das gesamte Sicherheitskonzept aus. Ein kompromittierter Entwickler-Account oder eine fehlerhafte Anwendung im Cluster reicht aus, um das gesamte Unternehmen digital lahmzulegen oder sensible Kundendaten auf GCP-Ebene zu kompromittieren.

Was Nutzer jetzt tun sollten

Verantwortliche Systemadministratoren und Cloud-Architekten sollten unverzüglich Sicherheitsmaßnahmen ergreifen, um die Angriffsfläche zu minimieren:

• Berechtigungen überprüfen: Analysieren Sie die dem Config Connector zugewiesenen IAM-Rollen (Identity and Access Management) in GCP und reduzieren Sie diese konsequent nach dem Prinzip der minimalen Rechtevergabe (Least Privilege).
• RBAC im Cluster verschärfen: Schränken Sie den Zugriff auf die Erstellung und Bearbeitung von Custom Resources (CRDs), die vom Config Connector verwaltet werden, über Kubernetes Role-Based Access Control (RBAC) strikt ein.
• Namespaces isolieren: Nutzen Sie separate Namespaces für sensible KCC-Ressourcen und verhindern Sie, dass Standard-Nutzer oder automatisierte CI/CD-Pipelines unkontrolliert YAML-Konfigurationen in diese Namespaces einspielen können.
• Monitoring aktivieren: Implementieren Sie eine lückenlose Überwachung von IAM-Richtlinienänderungen in GCP, um ungewöhnliche Rechteausweitungen in Echtzeit zu erkennen.

Fazit

Die Schwachstelle verdeutlicht die Komplexität moderner Cloud-Native-Infrastrukturen. Die nahtlose Integration von Kubernetes und Cloud-Providern bietet zwar Komfort, erfordert jedoch eine akribische Absicherung der Schnittstellen, um weitreichende Privilege-Escalation-Pfade effektiv zu blockieren.

Quelle: BleepingComputer