漏洞概要 关注数(233) 关注此漏洞) a) ^, P+ G+ }2 ]% ~
, Y G3 A ^* j X5 K缺陷编号: WooYun-2012-15569
$ k d: \) T& h8 Y* Y: ~- f- v. [: ]3 S) A$ I; O) z/ v
漏洞标题: 中国建设银行刷人民币漏洞 {! A) E8 [: e G' s& _1 P
5 F( R, d0 {% M相关厂商: 建设银行
3 T$ S, d4 u, O [, I# f0 c# A- {9 W: q
漏洞作者: only_guest
& [5 e; o; w4 V- @& D" g; P `
3 k$ `; @9 `+ Z* H提交时间: 2012-12-03
3 n- Q, N1 t# C X' [+ d/ X, a2 ]( s5 M
漏洞类型: 设计缺陷/逻辑错误
, j8 Y l# U& v$ O$ j% }& J" u
8 ^+ n1 k3 R# u, g5 k# _0 y危害等级: 高7 ]+ \2 L% K9 r( Q5 q
( N9 y* w# \9 K3 r* ]) I0 b漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 : V) d3 M/ Z* `, [: i
5 Z* M* c( j j0 @+ x8 m漏洞来源: http://www.wooyun.org* h7 S; T4 i/ P1 F# G0 a4 k8 }* T' v
9 w; _3 W7 H/ \, E7 Y+ J+ q: x
Tags标签: 无
- k3 H0 t; x+ }; W6 g1 y
: l. M- E) l! t8 K8 i6 A
. L2 k3 i' X$ N. Y3 F* y6 }9 O1 b8 p$ |4 N6 q/ @! a8 j
20人收藏收藏
. q( H6 T. H$ H: o* S& u' o. \分享漏洞:6 Z5 b v+ A p; i- P3 X$ ?
354 R( B8 [- h y7 L( M$ L- a
( A) B/ k' z9 o. O4 C$ ?, m6 I* f n
--------------------------------------------------------------------------------
# I" D+ h7 G& c& `0 U- |! m6 O! t( U2 i" y O" [
漏洞详情
3 H& r9 b# r- _* x( }, |5 J+ a0 D
披露状态:2 J7 F- B) V: Z6 O/ D% P2 W
( |2 g) p. }* i0 z e! m4 \& r% m5 Z8 q/ k1 ~- i
8 @1 d$ y, j H" ^! A
2012-12-03: 细节已通知厂商并且等待厂商处理中
9 W# c! a; k' z; d2012-12-04: 厂商已经确认,细节仅向厂商公开$ e$ a5 U8 J' K0 x3 W
1 H) T5 B: g/ s6 C2 y
1 {2 \) B5 w0 _/ }0 S简要描述:
5 `) o6 ^) L. C6 e5 v, | n) u
; p8 }1 y& a4 \7 A偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...2 m; e9 D; Z& K f$ T& S) n/ h
测试用的.你们收回去就是了.我是良民.2 P( C- M. R& e6 W
4 ?" i; z0 i+ B0 b0 c
漏洞hash:47b3d87350e20095c8f314b7b6405711/ U5 t3 }( @: d" z+ E! s6 @, Z. G
. M4 f9 q$ C, u0 X
版权声明:转载请注明来源 only_guest@乌云. l$ c5 \& h0 M
5 H* j( O5 I9 A
--------------------------------------------------------------------------------2 ]# @: j( u2 @* d3 T. U" X! `/ r
1 w2 c9 j& F; m' @8 i' P漏洞回应
$ K2 v0 x- ], M8 d! \2 L
$ r e6 @) I' Q$ J/ J厂商回应:
7 Q2 l' i* M4 S# ?/ S$ x2 H7 S* g3 U8 _
危害等级:高
7 V; Q2 X: G% \
0 R6 b8 l) P/ ^) ?2 a M. w0 |6 w漏洞Rank:12 ) I; K8 t' D+ q& q: x/ }
2 W2 H7 L5 p& s0 Y/ D" C
确认时间:2012-12-044 K* l# i2 k& @! O5 g
' U. q, W ~& W* S& w! k厂商回复: u/ b6 r- x7 g( ~" n
- C2 _7 s% `7 Y* ~; q% M% M
CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
/ z6 V7 s0 n2 E+ Q 8 l0 m- a1 J4 @* o6 D" M
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。+ u& y9 K2 I& g& G3 v/ x
6 b/ Z s' s6 |, N4 _( _按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00
5 s% [; |# j, d/ q# R$ M; @ |