建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞

缺陷编号： WooYun-2012-15569

漏洞标题： 中国建设银行刷人民币漏洞

! e- [  m' z/ f" {4 j$ d相关厂商： 建设银行
# r* Q: f) y9 C
漏洞作者： only_guest

提交时间： 2012-12-03
5 y: V" z+ k7 R" \# v% h6 |5 i
9 o. L, ~  p# F- O漏洞类型： 设计缺陷/逻辑错误
0 x. Y3 _& G, \9 S) b
危害等级： 高
  u0 ^' F# W; W6 a; i! w
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理

+ A" L" R/ e3 Y  T漏洞来源： http://www.wooyun.org
/ y( \4 Y/ ^5 G! I! y5 L$ _
Tags标签： 无


% r& |- N3 h4 S: i# W' |
20人收藏收藏
分享漏洞：
5 n$ K- g9 a8 H3 M2 F35
8 r' L; f% B* _1 L  m# S+ e
--------------------------------------------------------------------------------
# r( m: \( s5 u1 e' O
漏洞详情

披露状态：
: X$ G3 O/ d* R
& ^. \. X/ \2 c) s+ b. y

3 ?- v. F/ m% Q. `! x# t  I2012-12-03： 细节已通知厂商并且等待厂商处理中
( q. N7 W( v; q$ i- M5 u2012-12-04： 厂商已经确认，细节仅向厂商公开
4 x6 O& y# N" u. Y3 ~2 j" \+ X

简要描述：

偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
' a% ^3 A5 |% J+ n 测试用的.你们收回去就是了.我是良民.
8 B0 X! x7 H/ H2 F. ^  u7 x! ?
漏洞hash：47b3d87350e20095c8f314b7b6405711
" z" @  G( ]4 s8 c7 Q
版权声明：转载请注明来源 only_guest@乌云

- m# N* A4 e/ y9 k9 W--------------------------------------------------------------------------------

漏洞回应
# @$ ?8 I% p* L0 f/ w/ {
5 n: j; j9 T( ~4 E5 q厂商回应：
' {3 `! ]" S2 {9 c' L
) q( T: w2 y# r5 P3 v危害等级：高
3 ]0 P2 Y# @2 f2 h
, b- b! ~3 Z9 Z; W. Z+ z* F漏洞Rank：12
5 `' l8 c6 ^, g0 h+ Y0 w! K' ^$ ^
确认时间：2012-12-04

厂商回复：

CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。

+ c4 [; I5 B+ ]同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
5 D2 S% @* S9 L5 {, t/ \6 R
/ w+ o" X0 x/ R9 a- \按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
' p% E' V' I4 Y; B8 L; {