建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞

* |" E8 z1 E) i1 \: ~0 W1 [缺陷编号： WooYun-2012-15569

漏洞标题： 中国建设银行刷人民币漏洞

/ b( a7 d- c; S) Z3 g% D% x) Q- F相关厂商： 建设银行

2 l' I' p7 v* Z4 s6 {  W; d4 N漏洞作者： only_guest
; p, ~3 w6 ]) H8 v
提交时间： 2012-12-03
( l4 Y' V/ J+ N1 n0 \
- K. o9 p& f$ f  f5 F漏洞类型： 设计缺陷/逻辑错误
/ j1 D7 }; O* ]4 p& a
# w, B" T' T" \( U' i) S. R危害等级： 高
/ J2 l* q+ q& g
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
$ {# Y6 W" y9 k7 j( O9 R
漏洞来源： http://www.wooyun.org

/ G& g( o; m8 e5 N) X/ mTags标签： 无
  [! E) n8 q: H3 l& w" c& Y
/ K" y& ]' O! [3 C6 K# r  ]; p( a, ~

: ^" Q$ j, X, B) S% Y3 q6 z20人收藏收藏
分享漏洞：
! L3 g" F& }; @3 U2 {9 t( ~$ T35

--------------------------------------------------------------------------------
* R+ l6 z, ]9 D9 s
4 Z" V5 A; N: W) Q漏洞详情
7 P9 \4 R3 X- u5 O6 G5 ?, q) s
! _" A# s) Q# }6 l披露状态：
( j; @4 L. H" o: }2 z
5 `  d+ o3 n; F: J

' u- `& \3 k% v: ^2 l2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开

7 o9 x* |, s& h
简要描述：
: X+ h+ m# B$ k. l$ L( A
/ Z7 H0 b& d& O# d! G: m偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
- n! |; @  ]4 y+ R  C+ z 测试用的.你们收回去就是了.我是良民.
' Z! y: C; Y( v% h6 N
  q( U8 k: V; M, G7 Z) L9 E漏洞hash：47b3d87350e20095c8f314b7b6405711

: i7 F; |" G* c# U  m* v版权声明：转载请注明来源 only_guest@乌云

, m9 T1 z4 J2 d& o) G" k- i--------------------------------------------------------------------------------

漏洞回应
; ~0 \8 M) A7 F$ t  u  s  [
厂商回应：

危害等级：高
4 Z. z! |9 _8 J+ s) j7 i* Z
4 ?, Z  O7 _, X1 E/ h漏洞Rank：12

8 `0 Z3 X6 y6 O确认时间：2012-12-04

  Q% d& h, s% R) B+ T: n: d" _/ n. {厂商回复：
9 d2 A6 b8 M, Z& w! B/ a$ g
. F+ o. Y8 |1 t/ p) h+ oCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。

$ P  @# E% O% j- c/ l1 n同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
/ ^3 `3 \# h1 F( d% f
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
$ i' L( {' s; T* o