漏洞概要 关注数(233) 关注此漏洞
) ^0 C) {8 u( B7 D* f3 N$ G1 z% Y# [5 \. |1 L
缺陷编号： WooYun-2012-15569, {$ s0 B# M6 R/ g- A2 z+ g
, V# }; o+ T" d4 j: M
漏洞标题： 中国建设银行刷人民币漏洞 ! s: m: Y9 U; h: Y5 q q) [
0 V1 V! A1 ~: [0 o' M# a5 m/ j
相关厂商： 建设银行' B7 F1 \9 P9 M; W
8 g8 R `; S" R
漏洞作者： only_guest
( g) F& y7 C8 K( b! D6 A" D Q: N. S8 F3 B. U# O* S
提交时间： 2012-12-03
8 G- T( X% Y4 d: i% ~+ z9 F; Z0 X \5 r) O4 |6 M) A1 A) w
漏洞类型： 设计缺陷/逻辑错误9 ~0 `, X; s; s7 t6 H. n% I! _
6 o! a) g, t5 U1 n" p8 q
危害等级： 高
9 n- f/ b$ G- v5 _
. K6 s5 E" n* z' J4 w- ^7 S漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 * M9 v! h4 v+ r0 ~# T& j, F \
/ _# j$ ]# k& K
漏洞来源： http://www.wooyun.org( o% n; p- M6 W- f* b: d6 P* Z
1 `1 S5 Z( d$ @2 U; D
Tags标签： 无 ( G. U& P, ]9 w& W* o& ~
' e! @" M) L/ c6 O! D* Y9 j9 l5 A" o' R% b
, U4 D6 t( D9 l7 z8 a) |3 b7 R& U w2 f20人收藏收藏
, ~& W, I% e( P分享漏洞：
' f( s- {5 v. q( [35
1 l1 v6 n" n0 i1 H/ q7 P9 [& I3 u7 V1 I' R5 Q# [9 c9 `
--------------------------------------------------------------------------------. d ]! h" y8 @6 X0 ?+ F- Q) w
; X( u2 B1 G4 L, o6 d
漏洞详情
; g, P; E$ q$ x5 J# r `- d P) Z* T: H* j, s& T9 N1 R, g
披露状态：/ X3 n. x& x; W& G g7 a0 ~
' @) Z8 s0 L: L) U4 v) X
. \5 F' k. _, a# ^4 V, P7 Q
# K# F+ C% g$ v/ E2012-12-03： 细节已通知厂商并且等待厂商处理中
+ p/ q. S$ p2 R* I' {# a2012-12-04： 厂商已经确认，细节仅向厂商公开8 w6 m" O% B3 z5 n0 i
$ ]; l3 P* M& M% `. \, b( X8 T. x% ^4 c! ^
简要描述：
$ J% g: f2 W' M- t( ^! J; D0 @! E, ^/ z' _2 j9 Z
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...3 q* }# Y. q) P% V' o: K% d2 `
测试用的.你们收回去就是了.我是良民.' o; c0 H L7 M" f
/ E, l, o( G) I7 D1 D漏洞hash：47b3d87350e20095c8f314b7b6405711
2 n4 K. O' \( T; L# F
* b( B$ r" W. ?9 P' t+ B5 B版权声明：转载请注明来源 only_guest@乌云
/ H0 Z) m' _' y$ i! s" ]& J) T' S/ ^ |
--------------------------------------------------------------------------------
* m* N. {3 s9 v: G
0 u6 {0 L/ X+ q6 q5 m' }2 q漏洞回应 U; p- k1 G$ Q3 r' u
' P3 P/ Z5 y* E0 M- F
厂商回应：* X7 `3 F( L& _2 L$ h
6 L5 s! T- g( D; i* g+ `$ {9 c
危害等级：高
% x# l4 Q0 o" T/ ^& m s' u' z
7 f0 W9 a4 c L, s漏洞Rank：12 & a; u8 B/ ]& U" B3 Y7 u
; ~5 L j0 _( R4 G; ~
确认时间：2012-12-04
: N o; }& k9 B5 j9 q/ p* k" y/ \/ V4 E5 z: A( _3 J
厂商回复：! V0 e, L, [ C/ I
2 V# ?7 A0 F4 ~
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。) V" j9 V: K0 A
q. t) r6 v+ o6 j& a. T. J/ Y* \
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。6 c* ]. S' v% j" ]1 x. r9 R/ U: F
" c W! }0 ^9 y+ j% c9 p ? u按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00# {! m6 j" m: I& a" E. Y! Q) i' `
|
发表于 2012-12-4 22:29:23
收藏
支持
反对