漏洞概要 关注数(233) 关注此漏洞
! A2 V* Z' F6 v r- r( e% \4 J+ ]8 P6 ?1 r6 l& [* |
缺陷编号: WooYun-2012-15569+ z+ U& O* }4 S |; j, r/ r, z
# I$ A$ k, r1 z& E/ {# L
漏洞标题: 中国建设银行刷人民币漏洞
$ C2 V: D7 `3 z& W: }# c3 N9 U& R8 _3 J' J; f: x: I3 P
相关厂商: 建设银行
; i' y# [6 i4 E- C1 d2 ^; W# F( j1 |( t0 i6 ~
漏洞作者: only_guest5 ]' a- I8 T0 K3 t' `/ H& h4 N: _- C7 ~
) U2 _; _# L. s! ~; E m* Y
提交时间: 2012-12-03. H. Q. ]+ ?1 g5 {1 y" G; e
. {8 K1 ?* u `. ^- N1 s$ d
漏洞类型: 设计缺陷/逻辑错误
( L/ b7 J6 e& d9 @, e/ S: I. y6 L/ g( {6 I
危害等级: 高+ B! E) J& _7 I$ ]1 K1 |2 {8 B
1 L, g6 A9 a0 u" S) ~漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 ! |4 R a. \6 g. y: ^: C
9 ]# |! j( r7 q2 ]9 ~! b漏洞来源: http://www.wooyun.org' K/ y5 }1 N$ M3 I: I
2 U8 l; ?0 V. |$ m& |
Tags标签: 无
% J% n) d& R1 L- [+ O# n
0 d$ i: D# I3 b2 I* L0 i( ?6 V
6 k( c% ?! K1 j8 y+ ?. G% S0 o: e$ B4 Z ~7 W$ n6 ~
20人收藏收藏
* f Z& C4 d! d9 A* Z2 ^分享漏洞:
7 X6 b3 \& {) s! M2 O35
4 P8 ]+ v. K; {' t% |5 t. D3 F8 m D N! A* n# `: x5 X; W2 b
--------------------------------------------------------------------------------
3 I2 }2 O# B3 \; x- i. T. M8 V6 z5 W, M( T- Q; C, f
漏洞详情6 Z8 R0 @9 j# M4 z. |
* q' |, a {' Z- S
披露状态:
5 \5 e/ z& o4 B4 q! N3 J& e8 S- l5 T) G. C& w7 V
* k* s. p3 {. T% q
8 e9 b1 W4 _2 d7 {$ W0 q2012-12-03: 细节已通知厂商并且等待厂商处理中
9 V( @: i8 B$ }0 o8 K5 S5 m3 X. b% K2012-12-04: 厂商已经确认,细节仅向厂商公开
5 c! E# D5 H) u- j6 K
" O0 C7 w H# u( Y% O: H( G- E8 V/ a9 S
简要描述:
8 q! }$ y K8 p, Z1 x" |
0 M7 T, o& @4 g5 _4 O& S4 v+ d偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...1 d) P4 t" N- Q9 S, M. ^
测试用的.你们收回去就是了.我是良民.+ X$ H1 o4 A$ b4 I
( P- K1 c s3 t9 w2 J5 b
漏洞hash:47b3d87350e20095c8f314b7b6405711& A0 l4 Y) }- ]: q' w! B% s
5 Z2 ?" Z" a( U版权声明:转载请注明来源 only_guest@乌云, @: S3 W! o- \3 J+ s" F0 d/ O8 q
+ K0 f( N" i- j) N
--------------------------------------------------------------------------------
8 k0 P6 j8 ?$ [; N( ] _+ n, d$ d( P8 Y
漏洞回应
0 v9 ]" ?1 D& c7 G( O R- W
3 y$ W# V3 d6 s厂商回应:
% ~4 h& S- ]+ Y) U$ a% G% J3 Y- P$ }: E( m2 t3 h, ^
危害等级:高& ?6 o" d$ W, [* F
2 z; h I. F- i" L+ P漏洞Rank:12 ( j: l% d# |, t' g! q7 ]
& Z, E% M. m1 m确认时间:2012-12-04
: B+ o4 E% n+ n* ]' `; V
# q# c9 z7 \0 a厂商回复:
' c+ o, j8 S; e+ S! C N, A
- u4 i2 W& P+ P5 a8 n* n6 ECNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
+ L( S% }( T& }7 b0 d% f3 {' T / v, }7 r! _% O: ?
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。: I9 B R$ }8 }- E2 L/ P
8 c& V8 J6 C8 N$ E; g+ a3 m按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00
& ~/ k7 z4 Q' f. K6 ?" k9 b: T |