建设银行任意取钱漏洞

admin

漏洞概要 关注数(233) 关注此漏洞
& K5 o# |7 C+ Y  n. M+ }
( z% e" F% J0 @缺陷编号： WooYun-2012-15569
$ E4 r/ K4 P- h8 R
漏洞标题： 中国建设银行刷人民币漏洞

; c( O  O9 [5 s' _# y7 F相关厂商： 建设银行
# Z2 J* ]1 A4 L5 |2 C
漏洞作者： only_guest

提交时间： 2012-12-03
0 q6 ~  I" S1 C1 b% T* h- T( g
漏洞类型： 设计缺陷/逻辑错误

( W+ `: s2 \* V8 Y1 @危害等级： 高

- c! z) S3 e* H* H' t5 F. W漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
4 V: Q8 H" d6 D& P* X: b! o
漏洞来源： http://www.wooyun.org

$ s7 ?, D. U/ K# A& I* _Tags标签： 无


. W6 X8 O3 N' _, ~: Q
20人收藏收藏
6 ?4 c& D- A3 y& G3 g2 ^9 g分享漏洞：
6 W  t" o, q/ G( r35

--------------------------------------------------------------------------------

漏洞详情

7 ^/ M& ]" h" p# v& f4 b( Y披露状态：
- }8 J; |& b: y
6 {% n* W+ e( ~7 t3 u
7 b" M% ]" u# N7 K5 K  t
2012-12-03： 细节已通知厂商并且等待厂商处理中
2012-12-04： 厂商已经确认，细节仅向厂商公开
! c4 L; A4 N  O: H6 z
6 f7 o) T) R8 U: B# y
1 L* c# I: D$ ~简要描述：
  C: m7 }) c8 w  D. H
- ?2 k8 x+ }& [/ C偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
7 Q" w: M( F2 r( H# c3 _" L- O 测试用的.你们收回去就是了.我是良民.
) O. G3 B3 u4 c% g
漏洞hash：47b3d87350e20095c8f314b7b6405711

' q+ e3 ^3 h* X; F3 A版权声明：转载请注明来源 only_guest@乌云
' c7 K5 u5 X& w3 h- O6 O4 E
--------------------------------------------------------------------------------
0 v  ]' r3 l4 i2 ^; J
# C) x% S0 Z" R漏洞回应

厂商回应：
5 L4 ]4 \% V5 z7 t
$ K- \, S+ a+ |2 [+ F6 H( e$ Z危害等级：高

  ~9 u. F: c: u" s& k漏洞Rank：12
7 L. o$ [+ e5 y4 V. f. D( L7 d
/ }2 {: E, p- U* C1 _2 N确认时间：2012-12-04

6 E/ ]3 e4 k( J" ?) i6 ^厂商回复：

CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。

同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。

& n& |% L5 R# m6 }$ C! U按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00