建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞

' ]- O0 J3 f4 Q8 o5 e缺陷编号： WooYun-2012-15569
2 W1 P3 r6 W. j/ @
8 t* X, u/ ^9 v1 O  X3 t( N漏洞标题： 中国建设银行刷人民币漏洞

) f$ J" Y0 Z- P  R+ {相关厂商： 建设银行
6 O( Y4 t$ A8 W8 j9 x0 Q
漏洞作者： only_guest
4 U  M4 ]/ g( j- F
提交时间： 2012-12-03

0 \# v* x0 P2 ]1 ^8 e1 q; j漏洞类型： 设计缺陷/逻辑错误

危害等级： 高

6 f8 J6 m: D1 S! [漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
! {$ ^2 T" V, r2 @
漏洞来源： http://www.wooyun.org

) B6 Q. L* g& o# e2 n& w% @Tags标签： 无



20人收藏收藏
! j& g0 @! z9 U" P分享漏洞：
: {7 U( `0 |+ p8 n  w6 H6 O; b35

--------------------------------------------------------------------------------
- p4 `7 U' ?8 S7 R! C
7 I- p' x' r9 O6 m漏洞详情
4 M5 j; |3 k& H
披露状态：
6 N: H. d0 K4 f, k6 ]& Y
* e! ]! p) z3 Z

; h% {# Q# S# f" p2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开
1 m9 z! a7 K9 p1 O
, c9 L( i/ Z0 K$ t
简要描述：
. o' n3 r" k6 T4 @
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
$ Y+ S/ O! U1 S/ \' ? 测试用的.你们收回去就是了.我是良民.
/ J. T+ J: Q; }9 x) W# e
; D8 k, }; t. S3 Y漏洞hash：47b3d87350e20095c8f314b7b6405711

版权声明：转载请注明来源 only_guest@乌云

3 U4 l. W  E" \' y* t--------------------------------------------------------------------------------

! s. [( A4 L9 s2 G, Z3 p5 A漏洞回应

厂商回应：
8 `3 ?1 k) x# f7 E1 q2 R6 \* ~# `
5 Z5 r2 N5 ]0 H# C危害等级：高
0 |0 R2 r4 Z! u9 A
漏洞Rank：12

确认时间：2012-12-04
3 E( k/ L0 V/ K) [
厂商回复：

CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
1 v" z$ @- w. E: d3 H
) s6 K% F- t, z. l% \8 t/ D" x/ {# z$ {同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。

按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
. k, S: f$ @+ G3 d2 m1 Q/ }