漏洞概要 关注数(233) 关注此漏洞, x! `4 D5 G2 L _8 |. F$ I' m o
3 I! s% s0 T5 p7 D
缺陷编号： WooYun-2012-15569
9 f$ B! z$ C5 ]9 ] E, w( F' c
5 H, l1 R: s) [" q" y漏洞标题： 中国建设银行刷人民币漏洞
& K! l. U7 u) [
& A7 c1 T3 D: {' L! | T0 Y相关厂商： 建设银行7 w+ A1 O6 V0 B6 E, E$ b+ d
, L4 w5 t7 ]% e) [, ?& `
漏洞作者： only_guest9 @1 d5 }$ g+ P4 {
6 k1 G; {2 s+ R- ]8 `0 X* z8 y提交时间： 2012-12-03: Y! A9 ?; n# a+ ^: w. R! I3 |( }
! o: R2 ~3 @6 t! n% v+ @* M
漏洞类型： 设计缺陷/逻辑错误/ ^6 V# R" }0 A
0 \9 k) P, y8 |危害等级： 高8 F3 ^7 {/ `9 K H6 N
# k# L% ^/ g2 Z! K& R8 O漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 " o: ~! @7 z# S9 A) ?- G$ b
2 T1 U' V3 |2 s! {
漏洞来源： http://www.wooyun.org
2 E$ @7 D$ w- I4 f& @+ B+ E/ q$ @9 f$ J$ W
Tags标签： 无
9 L; d$ L" G7 C! Q o
( W( P+ J* h0 W+ X" L- @3 I, n" W. i5 l' d( c
4 k! ^' x7 W( Z20人收藏收藏
9 }" S9 q5 _5 ] x分享漏洞：7 k3 K2 P/ f8 o0 X
35
5 T; ^9 p+ i M* E, Z
2 a6 L/ w1 ]5 y* ~; S0 B! z--------------------------------------------------------------------------------
( f. p$ ^& G5 P( n" p1 S0 {9 ]" H. h8 Y* ]
漏洞详情9 o1 {/ d. b! g: O, e
" R# c3 n* }& A3 l0 ?+ l H7 I披露状态：% B3 o% S$ h- U" H) E$ b$ j0 L% W
& a. I9 R; y9 c
5 r) w1 m' m$ w' z6 P
! T- t5 Y* k7 z) b) p2012-12-03： 细节已通知厂商并且等待厂商处理中
- Y; v8 _" K5 v% y2012-12-04： 厂商已经确认，细节仅向厂商公开
$ R1 M9 ^& m/ w L7 d- F' |
8 E! f: u T$ D( E
& a0 D- g5 E, C+ @9 B7 Q% S简要描述：) X" ]( ]2 }3 C3 A$ q6 [
0 j% T% x' J- z3 x3 ]" Y
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
/ P# y% x b- m$ @( I& G& O3 Z 测试用的.你们收回去就是了.我是良民.# Z. `: q7 a9 x
- w2 A. Y# A. k2 u漏洞hash：47b3d87350e20095c8f314b7b6405711
2 h3 i2 n+ a. Q7 B& m8 r8 y! F1 X. M! q2 t
版权声明：转载请注明来源 only_guest@乌云
* g! c" _8 P6 O$ `( f( m9 E
9 |* n. B% n' A/ C, h. U$ q5 t) C+ ` p8 q--------------------------------------------------------------------------------
1 K$ w8 o+ d) L. Z8 F
$ n5 X( `- ?$ a+ k0 `4 _漏洞回应
) W {! S$ R* p& ~# p7 J0 [/ y0 L1 o
厂商回应：
3 @, K3 V) }3 c/ I: V# _ z/ H- R
危害等级：高
( n' b4 m- ^. f
9 `, j, H' P2 v# r7 k4 C; }' m& D漏洞Rank：12
5 {+ Z% e: ^9 {) A/ \
$ x1 A6 V- R, e$ x6 W7 l. r& ?; |确认时间：2012-12-04
0 O/ M, F# G. \5 }! ^# o1 F+ \ w4 z1 G- u
厂商回复：
" R* J, I- J Y/ B& k0 k+ U$ U6 O( A/ d
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。0 p E4 Y2 C# l! _7 Y% s/ [8 s
, r" G6 B6 n% ^同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。( m# O1 a; l8 E. W5 l3 z
; @3 B1 U0 `# F8 ~% B1 E r: B
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00# ~+ H. K6 I e" M+ ]+ b2 ^
|
发表于 2012-12-4 22:29:23
收藏
支持
反对