建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞
' z4 _- c4 T$ o" D1 U. T5 a
缺陷编号： WooYun-2012-15569
0 E) E. ^3 ]% h' x9 R* |, u
漏洞标题： 中国建设银行刷人民币漏洞
: d7 P% t. W3 O. J4 e' `0 x
; A8 h) i7 S7 C+ G( r0 K相关厂商： 建设银行
( a  U7 M! I5 B5 w9 M& `
漏洞作者： only_guest

( i% h% X; k  R提交时间： 2012-12-03
3 s# \% V+ V8 E- N3 @- A
漏洞类型： 设计缺陷/逻辑错误
3 D+ d0 y: o3 y) E
危害等级： 高
/ p, f+ i% u: ^3 R, B: S8 g- n2 O8 R7 {
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org

6 C  W' ~% f7 U4 q+ _% tTags标签： 无
. R* |5 o% T5 \- F3 ?
$ b. s! N7 N) s' O( c: t
; v, d: `/ M. t; s+ F' n; b- M
20人收藏收藏
3 V7 y0 L# D" ~8 A' X/ Y分享漏洞：
35

--------------------------------------------------------------------------------

漏洞详情

% y3 w3 n/ x" ~! w披露状态：

. r* X- d: B+ S0 P
6 O0 x% C8 C+ N; u# V" z4 k# e! q9 k
2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开
! T2 Q( p7 M. m' O/ e
/ T  M! Y6 y' P5 b/ c  W7 k
简要描述：
0 J! i& _2 O# F: `
6 ?. r9 D) |5 s+ C& _偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
测试用的.你们收回去就是了.我是良民.

漏洞hash：47b3d87350e20095c8f314b7b6405711

( \# d( h6 J3 F, x. K4 K- ~版权声明：转载请注明来源 only_guest@乌云
; _8 j* }4 d# H8 {
0 e, b0 J! t5 l2 _' |/ w7 }--------------------------------------------------------------------------------

/ l; j& w# z! N# G漏洞回应
. A( ^) ^' E# L0 X8 P6 g
3 R8 N' g1 H/ z5 ]厂商回应：

危害等级：高

漏洞Rank：12
& k: W4 Q9 l. V" D) Y
确认时间：2012-12-04
5 R+ s: y: `5 d5 C
厂商回复：
- K9 A% l' B* B0 N$ c
/ M  m; e& _0 L' [6 r' P7 ACNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
. i% Y, K/ U1 s* p
- K' k$ }8 ~* ?8 L6 v9 h6 g2 P* C同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。

1 N) R6 }( J! ^/ I6 u按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
" [5 G' [  B) g* Q; j