漏洞概要 关注数(233) 关注此漏洞
5 e# y) S. }* R. V! S
# f% {& a6 A4 \5 d: p缺陷编号: WooYun-2012-15569
1 [8 `/ n% J" j' V+ r
! f# O, X( v9 a, u漏洞标题: 中国建设银行刷人民币漏洞 2 G$ L5 `) J) f+ H" F# m
/ p, v& ^" z! e' \ G相关厂商: 建设银行% w" P g! s% O8 m9 `, y
; b' y0 h9 g" \7 i
漏洞作者: only_guest- j6 x/ P4 @4 z9 X3 m% X" W
' _# V1 q4 r6 C' R5 q t( {0 F提交时间: 2012-12-03' t6 N, E# ?( v" i
- c. I' a S) k7 o" u/ I) M( J$ a漏洞类型: 设计缺陷/逻辑错误 z2 R$ K: [ c M% S- H6 F z
! h, A: M5 J& u" r" A- t6 m. l
危害等级: 高
6 i0 H' ?+ H+ a* i# ^+ W4 \1 `2 d& S3 x3 r
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理
' I% ]/ c4 F5 y& {) C9 D
$ H& v$ [6 P4 c/ R3 w漏洞来源: http://www.wooyun.org
' _3 k1 ^# H& R' ^
2 v7 \3 Z( q( r3 tTags标签: 无
: Q5 t4 P: G- v+ R5 K. l
* F8 Z* s. C$ z3 E6 E, r% h1 s+ i* j. W3 V4 A
1 ~! [5 T7 d7 C0 h3 v2 a' v7 Q20人收藏收藏
# S6 S+ B, F0 y( P# r; U分享漏洞:5 y9 ~( t: V4 r) K
35& k n# ?8 A- s: A% T
+ U* E/ r: u) d+ c& D
--------------------------------------------------------------------------------% w; {5 e0 r% {; T, d$ K5 V+ J
" e; e( a1 B+ d/ w6 w r漏洞详情4 x: X5 ?, v* W3 C. n
F8 S4 d: n+ |, [
披露状态:
9 z+ L: Z2 x1 @5 S. o2 Z6 n, Y+ z: P. X( X
, k1 p* B% p) Y- k! s6 Z! Y; w
2 S" S# Q9 u6 a, E; ]& I5 e% o2012-12-03: 细节已通知厂商并且等待厂商处理中! H$ ?) n9 X* W" a$ |" E! R
2012-12-04: 厂商已经确认,细节仅向厂商公开; c! u& d4 c; V: p
3 T$ p% {% o/ }+ ~* G. G
! J: l R/ V: S2 `9 e" r简要描述:0 h$ R& H8 ^2 E- [# i- V! L
/ e% q7 \- K# o- R偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
4 z* C5 a: B% h. R. [ 测试用的.你们收回去就是了.我是良民.
2 A: P; a: I: N+ j
4 V/ e& c) v( @. e: U漏洞hash:47b3d87350e20095c8f314b7b64057113 R- }& u T( K* D2 Z3 C
( w; g. s3 C1 u5 M$ g9 }, D+ A( V/ {
版权声明:转载请注明来源 only_guest@乌云) U+ Q% t' \) N4 m
$ O/ b6 E* ~# a% t0 k
--------------------------------------------------------------------------------# ^/ I- W$ X8 m3 A8 B
7 R( C( b- `, H- _. H1 m; c% k
漏洞回应! y4 K+ Z& Q- j$ U0 r3 _4 ]" }
. n. `" O! M7 a' Z ?) V1 {2 {
厂商回应:. E1 f7 p# W3 z, J
F" f5 ?4 s7 ?5 g8 Q2 n0 ]
危害等级:高
2 Q% W7 p6 I; }7 ~3 H( X0 h/ g6 {, Z- G7 o0 c
漏洞Rank:12 ! D% }7 R, q2 D4 u( s! W2 u4 z
2 `/ _, H6 p; k& ~% r$ U# m: \确认时间:2012-12-04
, Q3 u4 I" }1 T# I, V
( p7 H8 X7 d2 U7 X厂商回复:
3 d& ]5 o' m8 o& [' a# w- _& P: ]# M, z/ i* M, o% Q
CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。) ]9 b0 y: C+ Q
! H/ o: J5 ~7 |, P, }/ {! Q! @/ X
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
, D+ Z: M9 z# `) a* e
& J. Q0 P x; V按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00
8 ~1 x9 V @. l |