漏洞概要 关注数(233) 关注此漏洞
+ F, u& H- y1 q: u! K* Q& p; W: {1 p# y2 E
缺陷编号： WooYun-2012-15569
; Q/ l# G2 W& T" ], Q9 A7 m6 v0 `6 t8 E* I3 G" |
漏洞标题： 中国建设银行刷人民币漏洞 ' G, D/ t- u( b" D" a! V7 }
1 }/ H, ]( `# J$ y" ~相关厂商： 建设银行
9 t: V: E9 X4 I3 L9 s
7 s2 ~$ f1 A' s& ?" c3 [( I }9 D6 D漏洞作者： only_guest0 b% ~; X- G( x/ k
! i! ], i& r- P2 j( a
提交时间： 2012-12-035 ]7 i. H& _( t6 G1 K: a
2 ?$ N4 f! V# u" H漏洞类型： 设计缺陷/逻辑错误2 ]+ b2 ?' S8 c, _, S0 c
( A8 b. h3 U1 x: i3 i$ r# S. B1 x+ n危害等级： 高, Y! O- R& {! G7 e( b: X
1 `. i" _! a" {( W漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 4 W5 Q$ Y2 d* g+ o- ~3 E
4 n7 d6 j7 A6 V+ `8 d
漏洞来源： http://www.wooyun.org
1 M, l! P( v% y4 W% @! `
/ F- I0 A+ q9 _0 g5 VTags标签： 无 ; c' N7 x1 L" y
8 y4 y: p& i3 k0 J! l& r0 t2 O0 F/ ~
6 w2 T) F. }% F' p ^
" y+ z) y1 z' {2 g20人收藏收藏 * D, `$ t6 V6 ?# \8 k
分享漏洞：
1 Q2 E; P9 @1 K: z, _358 I/ y6 T" i3 o* t
* }4 R5 V2 ~! F; c: U6 O8 D p( ^--------------------------------------------------------------------------------: x5 M. A4 _$ I& R
9 S6 b0 A1 {, x. W. C漏洞详情
$ Q3 A6 f* e0 A- h$ v" Y1 c' t1 N! ~6 ^3 n
披露状态：" ~* H) Q& c7 G( f" t- G0 }
9 `! U$ X7 q8 m' M* c, n4 }8 H
- u9 p9 u9 P# W* M- F* ]
: v N- k9 `/ R/ |, ~$ h# ^2 `2012-12-03： 细节已通知厂商并且等待厂商处理中! V! N- ]6 Y* G; l* S, w* d
2012-12-04： 厂商已经确认，细节仅向厂商公开
$ l0 i2 A8 A: B ]
3 P1 N: o! v( w- m' @; R
! o( q1 q$ w8 d4 V7 F简要描述：) g a1 f8 m( ]& u5 C$ q3 t2 @8 g
0 D0 Y0 U' K. i, ]+ x. x. e
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...: @9 i- t/ Y" g. ?- a4 W+ {
测试用的.你们收回去就是了.我是良民.
) p: d* L: Y. E6 U+ N0 c3 U( U0 h
# l! }' q2 v" E! T) ]漏洞hash：47b3d87350e20095c8f314b7b6405711
7 Z, f9 @4 ` C( N2 e( Y
4 }7 {/ P% b" m1 O9 P版权声明：转载请注明来源 only_guest@乌云& Q, Q: h: Y* u) J* C1 C: e
" y6 O, W9 P4 o--------------------------------------------------------------------------------; J* |' H, y4 m6 u3 F& O
" O M) c/ N# E" k# a/ D/ Q漏洞回应
1 g- Z; _& B7 c$ \. A' C* H0 U# T* }: W3 K3 L6 v, X
厂商回应：' X" k U7 M9 e+ d9 X5 E* r' K
# C7 z1 R x; H( e危害等级：高
& X- ^# x2 I1 S" A8 W
. _3 P6 b" I+ Z" I$ ]漏洞Rank：12 + U, x2 l2 f1 i) i, `6 L! z
$ X5 j8 p/ `% h/ ]2 c8 I
确认时间：2012-12-04! _( M6 h0 }/ B' R
2 G$ }& x# u6 m+ D( ?厂商回复：
, r' a) F' r; W5 U1 M) v6 S
; H, B% ]9 _2 e( F6 n0 R" oCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。
/ y: Y( K2 g- j6 h1 L# v8 `8 R
( K! d; w7 m% R, b同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。8 o5 u% d! P) w7 w: `" a" ^
, o* \. Y6 I* D% r) M) E
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00% k$ P f% w5 U( A
|
发表于 2012-12-4 22:29:23
收藏
支持
反对