ConfusedFunction (GCP, Tenable 2024)
Crear/actualizar Cloud Function adjunta el SA <projnum>@cloudbuild.gserviceaccount.com con rol Editor por defecto.
Categoría: Cloud (AWS · Azure · GCP) 🎯 Trinchera — Crear/actualizar Cloud Function adjunta el SA<projnum>@cloudbuild.gserviceaccount.com con rol Editor por
defecto. Si tienes cloudfunctions.functions.create + actAs,
escalas a Editor del project.
🔗 Kill chain — gcloud functions deploy evil --runtime python311 --service-account target@p.iam.gserviceaccount.com → build SA con
permisos Editor → pivot.
Tenable disclosure.
📡 Huella defensiva — Audit logs sobre creación de Cloud
Functions con SA inusuales; cambios en IAM bindings del cloudbuild SA.
⚠️ Falso amigo — Google parchó el comportamiento por defecto
en abril 2024; nuevos projects no están afectados pero proyectos
viejos sí.
🛡️ Remediación — Auditar SAs vinculadas a cloudbuild;
remover Editor implícito; usar Service Account custom.
← Volver al glosario completo Última actualización: 2026-06-11