漏洞概要 关注数(233) 关注此漏洞6 a" I) o6 {. Z. n5 f1 `- @# h3 t, p
% P: N1 F Z Q缺陷编号: WooYun-2012-155696 | h8 e" z& i! a
4 H: j! D6 }+ d8 d
漏洞标题: 中国建设银行刷人民币漏洞
. |. @8 ?# x# `. e1 t [) l% n$ k1 g7 ~" E+ f& Z& m' y
相关厂商: 建设银行1 P$ @/ j* v) r5 X
" D, Y/ D/ P, s' D漏洞作者: only_guest5 ^1 [. B! ^: B5 ^
3 a3 v# E. p; F2 @7 ^2 k- I0 t提交时间: 2012-12-035 Q# \& w! {) N6 a! K/ u y/ d$ l. ~' a' g
- Y- X( E5 H- g( n2 C* V漏洞类型: 设计缺陷/逻辑错误
* H* V. q! d0 e; ]( q L L
3 W. |7 Z% C( k; q S. P危害等级: 高# J& K6 h, Q4 Y! X- |8 `
, `5 x( _8 ~/ T# q& c
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理
2 {/ f! U9 b+ E, e: u n3 x: d1 T" r1 L+ m4 X5 n! P
漏洞来源: http://www.wooyun.org
8 x5 W9 C$ I) @4 b& q# {" E) e2 h8 |4 ~8 C0 e
Tags标签: 无
$ s; d# l6 L, q; X# o1 o0 V/ r& @4 z
# f$ b' r2 S/ l y% D
3 q! }8 j4 e; V8 r9 s20人收藏收藏 ( @1 P0 E$ I) e' o% b5 o
分享漏洞:
& x# w2 M0 d' P8 G2 J9 u( y35( s6 m% D) {7 R# _0 k( J# }' G
* @ ^& D+ U+ V* Z9 ~+ I
--------------------------------------------------------------------------------
- s; [5 U5 z+ Y9 q+ Y
8 I( \3 t# N- t; ~3 k; Y( ^漏洞详情. l7 c. U5 s+ k0 U/ u
' m4 e' ]9 ?0 N9 }! ^
披露状态:7 ~% `! e4 ~4 K, a4 ~
" a6 Q- m1 w6 e% J, `. q" i. ]# N }/ @$ Y; s; g0 S; b" e
. V" M/ q) Q( ^8 E+ K9 k; i
2012-12-03: 细节已通知厂商并且等待厂商处理中6 }$ ~3 K* E% E5 T; ^! W. z" |
2012-12-04: 厂商已经确认,细节仅向厂商公开! s/ `# j; E" x2 I. M, k
A9 ~ b( ?( L* n2 d1 ]6 w
1 A* X8 M1 Q0 R8 c# N7 ^
简要描述:' }: S+ L. N' v+ g' ~& l: R+ y
2 X: m3 r5 D+ Q9 H# [8 C偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...& ]+ j0 `( I4 m, e
测试用的.你们收回去就是了.我是良民.6 _. s7 X9 h1 c: {4 p3 D
' r# }. @6 e, G# z; @漏洞hash:47b3d87350e20095c8f314b7b6405711' U6 X& v# H8 {; A& U
% a: {! `; h* [" H, X; K版权声明:转载请注明来源 only_guest@乌云+ j8 s- ~7 l6 T4 }. @
, g( I) x" F/ v2 E& Y3 P- h
--------------------------------------------------------------------------------# ~+ f& U0 Y/ t2 ^" s% ?3 w
2 \: A7 \, u5 w6 y
漏洞回应
7 W* n1 H( t7 q) |2 ^8 F8 b: R: u$ V t0 y/ @" m6 c9 c
厂商回应:
; a/ u0 ?' r2 e; b2 W: d2 W$ P& d9 a/ m7 ^, C8 ^4 ?
危害等级:高4 B1 {( O$ ]5 @& _# [
) g2 ^4 u; W" `' x, ~漏洞Rank:12 : C" c: [$ d4 U3 G+ o
" O# o8 [4 B1 U9 j确认时间:2012-12-048 @% S7 @( X$ P4 N
[ o1 b/ U& z- `1 V% @5 o厂商回复:6 E$ I2 C! c, `* j: d* q
k6 ], ?5 f0 W9 l7 J
CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
$ U& m0 M$ d* x# S* x$ N5 N 2 z! B) G3 B7 [' V1 e3 o
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。7 e4 ^3 d Q+ D2 Q
5 U# L& N& k; E
按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00
. |5 o, X, u8 d# v( a2 u1 r; y |