漏洞概要 关注数(233) 关注此漏洞
$ S* R* |* g# z6 E4 y) M) N( T# e: e- c2 ?
缺陷编号: WooYun-2012-15569: f. E3 E' }" ]# F- U
5 I! C- F4 h, Q6 Z" M) s# a
漏洞标题: 中国建设银行刷人民币漏洞 " c y! |1 e' W. V
0 C% ~1 l4 Y. |1 Y" W% a
相关厂商: 建设银行
, H3 X- n% \- Y' i! [# G% j* i$ f# F
A# @: k" r: A, v漏洞作者: only_guest
# J" ? k* D9 r& d/ I8 d; _+ Q
! A( ?7 S3 D8 u' @" `2 ]' _提交时间: 2012-12-039 n4 g$ N& g& I. O, Y
' f0 W* W3 T8 ?0 o) z- H& Z5 e漏洞类型: 设计缺陷/逻辑错误9 i; a6 S5 ]4 Y& N
3 t* F0 `" O9 V0 Z危害等级: 高
/ u5 }% v0 x$ p3 W& a2 t7 ]& C- R' \: p, f
漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 ! p q( f5 E8 D5 j7 T4 p& v
, e2 K2 s- f) J3 a3 z+ `
漏洞来源: http://www.wooyun.org/ Q0 ?! [4 Q" s, U# i2 k/ t
9 p& ]% z7 X: F6 T& e6 XTags标签: 无
" ^% d1 X5 H, R5 o/ q
( N9 K$ t! D) ], m; Q2 u. P% ?; J5 d0 x# S$ i
( e$ _2 v# t# z- a- _6 `3 q0 h N2 M
20人收藏收藏
' ?) Y% j7 I7 G分享漏洞:
! W# c+ H( H" t5 [! q0 x# A35; {! X' V/ H. t$ [ k
! d' Z' s g; O- Z--------------------------------------------------------------------------------
1 h# J9 d2 B8 K
( ^: Y4 ?& j# ~" Z. \; Y5 f/ T漏洞详情) m: X6 Z8 @. D# A0 G
& b/ J1 u/ Z: P; @+ m8 n; [
披露状态:
$ }0 J; x) k. L( U( y% U# M( m( Z# f, v. p7 E& F* c
, p% N3 p+ a2 L: p6 r3 e- i
! P( k& p: v6 U- j/ G6 p y
2012-12-03: 细节已通知厂商并且等待厂商处理中1 a4 w3 B& u1 F; {' u v
2012-12-04: 厂商已经确认,细节仅向厂商公开
3 C/ \0 f) d) C% ]3 M* c2 j/ I; Z4 e- x- n7 _
4 T3 z, d5 ~& y5 o2 d
简要描述:
) [: l8 O$ ?3 C- Q) w: U8 ~4 l6 M
$ T, X* O) P6 Q) }! Z偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...( N, _5 B( I* P1 T
测试用的.你们收回去就是了.我是良民.) c+ z6 z4 X5 M$ r" _( o
* z- o3 J! P9 B漏洞hash:47b3d87350e20095c8f314b7b64057113 r+ u; g. |( Y: I# m. [
3 M/ Q$ \) X( w6 b* J- d版权声明:转载请注明来源 only_guest@乌云+ P* g* }/ O4 A) r
2 Q3 W5 ~; l- y5 E- p% I$ K
--------------------------------------------------------------------------------
7 F+ {( \& ~: ~4 u/ C; m
- T9 s3 M( c+ c漏洞回应) b+ P; Q F& O% h) q$ D+ z
% p; ?- D1 R; \" ^3 ]
厂商回应:: T" B6 q: j8 P) ~4 f) y8 d
) U$ {7 t8 h! y' G1 I! c
危害等级:高. U( B" u3 w, m
6 G5 s- o0 }! r" N1 ~7 G( w, w漏洞Rank:12 5 p* V( E2 W' _
1 V' N z- ^8 _6 D" G$ v; _3 |' }
确认时间:2012-12-04% u- j+ y. L1 R' r
& ]1 H P- h4 q% Q( ^/ `
厂商回复:) {% [' p) H' S
; ?: ]; I% G9 a# O! }CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。0 C5 O( q7 F6 k9 W" B
! s' u( r4 j& I3 i, ^0 Y, P) e
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。2 a+ J) o3 u" `! a
2 x* s' u& {. m7 F+ N$ A按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00
) c( L# h& N" n Y" c" `/ ?9 [. J |