漏洞概要 关注数(233) 关注此漏洞& @0 @) E# e* s/ e4 h/ f ?
2 g) \/ i, C3 \) o* K; {缺陷编号： WooYun-2012-15569# v- E6 L/ [) |( K5 [
Z7 p/ i" f1 S5 W$ r$ K6 @1 J4 C- o漏洞标题： 中国建设银行刷人民币漏洞
# k: ?4 f& o3 I* j& e- ^/ J4 j. h1 U0 e- F+ H/ N# i$ n+ y
相关厂商： 建设银行8 ?9 v. }+ b+ l, B) v' s$ u) L* {
; w' }0 M; |! ~5 [( M: ?- I
漏洞作者： only_guest
! g3 [. q- o5 e: u5 w0 T- A" ^( a9 I* B0 P' k1 j2 H0 K
提交时间： 2012-12-036 h' M* I/ {: n# A4 {! a
& R7 ]4 K, J: y' V1 q* K8 v& B漏洞类型： 设计缺陷/逻辑错误
# z( \$ ], {0 }! |* u2 @3 D
& r4 r$ ~: b t1 y0 O# u4 \' T危害等级： 高
, P( \4 v2 A$ }7 l7 A
8 L+ v- u2 L3 g+ N! M a2 X. k0 e漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 # }9 U2 N$ y* ~8 g+ ?/ ]; _
: T1 ` N0 r2 \: c1 [2 w, }
漏洞来源： http://www.wooyun.org
5 @1 X6 k6 P( R; }- }& Q
, A: I- e# E! Q8 BTags标签： 无 " P. ^0 D9 B/ V. j
$ Q& \+ ?6 L* v9 Q, Y }% a) p2 d" O4 W- S U# T
, j) x0 @+ _& B% m) C: C v20人收藏收藏
5 v7 E5 m7 w; m- {分享漏洞：
9 b: W& V' Q8 z: N% G35/ e Q' v8 y# P
' D& y) b$ y$ x1 v2 V
--------------------------------------------------------------------------------
8 V, W4 ?4 i, X5 H& J) V5 M/ O6 A& q8 v% W
漏洞详情
" O5 O* z7 z& a1 s
) n( x% u O8 z6 n; [( ]披露状态：
' |9 V( b/ ]4 A4 ] b: i9 P4 j2 g0 l; G8 N% b8 x" D9 d
+ J& `( ]) Q2 D' t6 {# }
+ Q6 K% S. _0 ^; V5 g; V2012-12-03： 细节已通知厂商并且等待厂商处理中% Q' p& x' R- |7 I
2012-12-04： 厂商已经确认，细节仅向厂商公开
0 W; u v: F$ j: W4 m$ V4 [) x! h0 J1 m1 ]% e0 r. {3 ]3 @
5 f9 F# W) a5 e/ v# w, I
简要描述：
" x! _ g% r7 L* ~6 _; T& x" X4 ]7 W( U2 v2 \# R
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
4 v- ]9 j% l3 W5 V @ 测试用的.你们收回去就是了.我是良民.9 L4 |3 z. ~; r% e& t
+ d R+ M! v( R0 D' v7 {漏洞hash：47b3d87350e20095c8f314b7b6405711! o- f- g* Y9 x! b2 g
9 K9 D: {: J" Q. `2 v# g版权声明：转载请注明来源 only_guest@乌云
8 d: y L6 C! H! w, |' P6 w
7 a% S9 v4 g0 e8 u u--------------------------------------------------------------------------------! C7 Q0 p9 `/ c
$ W2 g* \. ?/ F: c. { x0 O漏洞回应0 T' a% B4 S2 f. W# z8 g
5 n! U, i; x& ^* M/ c! k9 J厂商回应：
: J- _: i' t% z
# P7 Y( L u- ?危害等级：高
4 G1 E$ Z+ w/ K {: X- W( \: U' M0 B3 c9 K/ C
漏洞Rank：12
0 W. u% f2 _+ P& H6 q
; ]; P; t% L$ Y/ H! l3 l确认时间：2012-12-04+ g! j( z6 d# D. M2 K( d( O, f9 u
5 ~! _% n/ s% r, _0 D! z
厂商回复：
: Z! |0 h4 \2 w+ _9 @' H
9 J& i5 z& m; i' CCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。7 x7 L; I" [( G5 g) O/ q
4 |/ ~1 O5 O7 y8 t! ^( C
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。8 H0 o; h+ O) b; Q
# U$ S4 J7 ?% g+ i4 A
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.000 r1 O C- v/ v% K
|
发表于 2012-12-4 22:29:23
收藏
支持
反对