漏洞概要 关注数(233) 关注此漏洞/ O( l% e& c$ F2 S
3 Q6 h* `, ]7 N7 I" j- R" @缺陷编号: WooYun-2012-15569: t5 h2 \' |( u8 v8 d6 Y1 `
, v3 \: K& e4 k+ f漏洞标题: 中国建设银行刷人民币漏洞 " G/ J# r+ C j7 A' l
4 W& I: F3 E9 x ]8 e6 c) L4 d5 b' s相关厂商: 建设银行
% s# f% \- N1 \! b! H6 ?- E! O, B6 x9 Q4 z6 ?9 {
漏洞作者: only_guest1 e) s6 r5 W7 X1 F4 H' |
7 X1 K- }* M9 G% L
提交时间: 2012-12-039 P; Z {" {* _3 b9 w, n$ x
5 q" T+ j2 @- f5 b# b漏洞类型: 设计缺陷/逻辑错误% d/ k) m4 y5 {% a
" X/ G2 ?7 l9 S4 b8 v5 F
危害等级: 高
/ k7 Z0 ~2 F/ L8 {: d3 D4 a* M$ w3 A- R+ [
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理
& x0 h2 u0 p* A/ A6 g6 a, D. C
1 _4 M6 T* A/ W漏洞来源: http://www.wooyun.org2 k) ?6 l1 ?* Q7 ~, j$ [" Y
$ c0 {, ^) J1 ITags标签: 无 + v& Y+ o! f- Z
E: s9 \( k& y5 f. p' J1 D4 _1 ]* K5 B. Z0 K! K
8 l+ X, M* ?! w' p' e% k& {
20人收藏收藏
# G) `1 q8 N. N. {! }分享漏洞:9 ]" u# O I% c A6 c& e
35
6 s1 ^7 N- f1 }! B, T0 {0 L. r. Z$ E1 F5 p
--------------------------------------------------------------------------------
+ ?, ? q; D, s! E- C' |, @" X
" q5 e5 j+ \( s7 u: X漏洞详情3 D( r' z+ {) z; {9 |' z0 a
" q0 m) [% R/ P% ^& L
披露状态:
9 |* g7 K( I2 a) D7 z3 F' z' Z. |' M2 n# s. u7 q
6 p8 C; i" C P. e, r$ R) p
/ |8 C# B% o, A2 t
2012-12-03: 细节已通知厂商并且等待厂商处理中
' x5 _: c# T* G E! L2 o2012-12-04: 厂商已经确认,细节仅向厂商公开
. k/ l" L# L6 p# a$ @6 Z- y$ @% `. P7 G$ }
5 s; }, S' e- r) O8 d3 t
简要描述:: C5 F G: P: ^( X8 i
( C0 w1 g; B3 x- U) u5 u: c! |( e偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
7 F3 V' ]) I0 _ 测试用的.你们收回去就是了.我是良民.% V3 g+ o8 J6 v) s/ j; s; u3 f
( N3 D! o0 D9 ~: i
漏洞hash:47b3d87350e20095c8f314b7b6405711" {+ R8 m% k6 [& \
5 J: h9 g V8 S9 h) Q: H2 c版权声明:转载请注明来源 only_guest@乌云
" f' k& N J7 \+ j7 K0 g7 p6 }; y" U/ _" j
--------------------------------------------------------------------------------# H1 X2 O2 l- W4 e" x+ `, k
4 J; \& s. v: U
漏洞回应" L; O, `& z: Y
3 w. _% u5 @" K+ G! P& N( f
厂商回应:" h' R0 E* r3 T. _" b( ^& }
# c& `) Q5 d9 i7 U+ }危害等级:高$ H" z1 i r# V" C2 ~: f
+ H" ], C H6 v, P4 z) }- ^
漏洞Rank:12
3 H! F3 k' T8 O* U. t; l1 ^/ t, H
- K4 ?% _4 _4 N& d确认时间:2012-12-04" Z) y, ?( Z8 }" k! w
+ u& {" a& Z% [9 U$ x7 J6 l. r8 v
厂商回复:5 `2 j* D0 P% P9 y. e: [1 F7 D) u3 n
( E! d7 R) k5 {+ x
CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
/ _! M% [# N! Q' }6 g6 Q
! z; G* c/ V, @* d2 E6 x" H同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
' w! y" a' n0 P : y4 Y5 V4 c9 p$ N5 l
按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.009 e7 k( T& n* M' O' W$ P( a
|