漏洞概要 关注数(233) 关注此漏洞# m1 i! T. c' h0 h$ L* H
# \* L$ B- p' O/ a) I, I缺陷编号： WooYun-2012-155698 m. n) u5 C% E7 v' G
u* I. o/ r3 g0 K! U- d漏洞标题： 中国建设银行刷人民币漏洞
" j& |6 Q( J# M, [! x- M+ k8 `, p* x1 o& q: W( `3 ^. F
相关厂商： 建设银行
3 g. F. L9 ]) {( Y; v
; M; Z* B9 Z# J F0 X漏洞作者： only_guest p0 u+ Y3 Q7 \
2 ]5 x+ A' |, d8 g1 J2 \提交时间： 2012-12-03: s V( a I+ _, I' ^* n1 s) _
! m; i; d8 p3 H
漏洞类型： 设计缺陷/逻辑错误9 |2 t& X' @/ ]+ U2 }
# N6 }1 ^( o+ N& {" d( G3 M, _危害等级： 高
' V% m+ y- G' q5 `
5 E, m7 I1 d0 N' Y; _% d& c3 k! s# S漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 0 K% q. Z# j4 a4 F [% {) ^6 P* H
0 h! Y' L$ {* g% I
漏洞来源： http://www.wooyun.org
3 [0 u, @ D6 d* L6 p0 {$ _% l7 g0 g9 t" J: N# @, y9 Q
Tags标签： 无 5 P9 q. ?; _2 Q2 r
3 b' Y0 @3 O3 B, [; f' x
& Z! |: |. q6 \8 A( k! n$ G# f( u0 _+ K! b4 J( @* ?! N3 \2 G
20人收藏收藏 # G `/ f9 l9 m6 s# A( g, j+ _
分享漏洞：' n' Q+ a* m% k: s q
35; g7 N, E1 t4 i9 C" w" ]3 r/ g
2 V. _6 m1 ]: A
--------------------------------------------------------------------------------6 T5 H! t j* v% D- |, w3 C w- k
& f: e% V4 k# r1 P* _6 }
漏洞详情
5 v' c9 k( a* @- V% z; }9 z( I$ m
披露状态：* c9 B! A( s# I6 `1 \ n' c
9 n3 T4 p J4 T/ a9 h
7 n$ o1 _8 a4 s; l7 C2 o0 [+ x* o$ j1 f7 m
2012-12-03： 细节已通知厂商并且等待厂商处理中4 F+ R1 j, H4 R" {
2012-12-04： 厂商已经确认，细节仅向厂商公开0 ]( Q6 m8 N4 w9 Q+ F! P4 s! b
+ \0 }9 R K7 ]& `" Y1 l
. }6 A, o- `0 l$ w
简要描述：8 N m7 r8 q7 d) E; K# S. X5 I
# }2 B" |9 q4 \ T/ d2 x
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱.... {& S1 P& m0 x( P: N
测试用的.你们收回去就是了.我是良民.# ?$ u) P) E% d- Y( K4 G
2 C) j$ s" m9 r
漏洞hash：47b3d87350e20095c8f314b7b6405711$ Y; Q. a0 x1 \9 T {9 a1 [. Z' S
T; t4 v; R' ^版权声明：转载请注明来源 only_guest@乌云6 a% A- S9 H' k( @; W
" ^' u: c- a8 G+ M. F' q0 R0 r: I--------------------------------------------------------------------------------
: k1 v5 K% A- E: @' E8 }
3 t7 k( g' h2 w) H# k$ {, }& O- {漏洞回应
% d* {. G; F; q( |! C6 h
( R E# s; [' d& o厂商回应：
4 j( N- o. N6 A9 j' X2 V- @! H) j) a! l/ B; I
危害等级：高
0 S1 }8 G8 O9 f$ N* P. n# |7 s& G7 d
+ r3 S7 ^, s. U |' D, R漏洞Rank：12 5 @# E1 n( n! f
) q, m0 p; o1 g" h8 r
确认时间：2012-12-04
9 j K/ A) T9 Q3 ?
; D* d9 @ f# b* r: v, Z厂商回复：
' ]( c# |" w+ d5 Y4 _5 _, w; H: x3 f7 H: M+ R) G
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。# C) G. V, ]: k7 a4 T# E# {
4 [$ n+ `* c6 f# k同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
j' z3 O) d" M( Z% N V a4 G8 @
( a4 B' g ?( Z/ p( E$ y按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
0 Z+ Q5 F) V8 n |
发表于 2012-12-4 22:29:23
收藏
支持
反对