漏洞概要 关注数(233) 关注此漏洞0 j4 O1 ]% H1 D" j4 O0 y- }+ e
( ]% }# K" J- t. O; P E7 M" K缺陷编号： WooYun-2012-15569
; l# j& z( A" X& `, C9 Y" F6 W2 E# I# e1 m* K6 I- w0 e4 M
漏洞标题： 中国建设银行刷人民币漏洞 + E( T+ @* _" U6 l6 ~- i6 j
/ c( [8 m4 b; D5 V( R: V相关厂商： 建设银行
9 a k+ J$ }) S) N; ^' g, y+ |, G8 f, d
漏洞作者： only_guest
+ Z" A# x% ?6 T% K
3 I/ P$ E4 ?! Z8 `5 P4 U0 p j提交时间： 2012-12-03
( O( x3 ?" o% K3 }- i4 n0 m& e; q) X: k! E/ |% r( y
漏洞类型： 设计缺陷/逻辑错误
+ X# @% J ]9 d, q. b( \8 I' Q
, D% a; O2 r( k3 j" P危害等级： 高% g/ ?5 Z3 L' G# q3 P
7 j# D" W! R h1 e% e4 E3 K1 t
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 " z5 W9 z7 ?, G; X& Z4 ?* }* I# H
1 I/ K7 T4 ~6 R漏洞来源： http://www.wooyun.org
4 M2 k' l4 J3 z; ?+ O" F
; {- N( E5 k& g6 ^2 C {5 kTags标签： 无 5 P$ j/ w" D8 ~; ^7 H" k" V# a- h7 p
- E; m) |' L. n: f' \8 {: Y
; }2 X+ f' T% l$ n9 K3 n
( m) g- G9 k' ~
20人收藏收藏
, ]" l; V) r; }5 I# X8 G& e分享漏洞：
7 L ], l; z4 n9 @35) L; |, Q, L4 U
9 X- B& ]0 ~2 f' W9 k3 u--------------------------------------------------------------------------------
, k8 h( n% z t- w# f: z5 [' w4 }. J8 e) y0 b9 u2 \7 E. o
漏洞详情6 _; ~- Q0 m6 ?) y
3 R. M8 r# j: @8 b+ @' _披露状态：" @0 O2 E& c+ O' ?* u6 R
2 C# Q. z% |+ _6 t; x% \
M7 Z( K: b2 Q+ S/ M( ~
% u# x& |7 X3 i) S! k; o( o2012-12-03： 细节已通知厂商并且等待厂商处理中
. g) i- ~" U2 G$ J0 I2012-12-04： 厂商已经确认，细节仅向厂商公开6 d1 [7 q( @% B* b' ~! X0 W
& o4 e4 s) g' h& u! I! M7 w7 L4 ]( X$ F
简要描述：
`. _2 q$ n; l7 C4 t7 s) ^0 `, k3 H
1 z3 y8 C. Q/ J8 r偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
) [, j- M7 h# {: x' k 测试用的.你们收回去就是了.我是良民.6 V( }; e ~4 `9 H4 y+ ~
7 `: |/ |4 o1 T- L; H
漏洞hash：47b3d87350e20095c8f314b7b64057113 o5 ^) v2 o6 ?: J; S6 {$ O
, P- B8 B7 C1 ^# K$ t* u0 Y; b$ g版权声明：转载请注明来源 only_guest@乌云2 y9 d! b4 F/ j6 s0 r. p, Y5 ^9 ~
( w8 @2 ~' E. x: G* r3 ]. H3 l
--------------------------------------------------------------------------------
. T9 d' @ R; y. h2 A: O; R/ w" V. y# l6 f# F! D
漏洞回应
& a; y6 H' R9 C, R% w* M8 w! \* v
. Q- G% _9 @* ~; H& n- y! V厂商回应：
2 T& t, s5 g" u
- z" B, @6 N; X4 {9 h2 \危害等级：高
* F$ e+ V/ R) h6 D- @1 ]9 z! E( M1 l4 r3 m5 \
漏洞Rank：12
/ |9 U, m* B4 P0 g. L9 t+ I9 v4 ?; ~2 J3 h5 ?
确认时间：2012-12-04
: F1 W1 J. |. S* y
& ~! C. D! o1 i; v% Q厂商回复：, R) q# b2 a: F' k; C U: G
$ e: |! _0 l5 S5 A2 d: t) ?0 h {/ [' z3 eCNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。1 @( \. b4 i3 B4 o9 H# r6 r3 f4 K
* C7 |, j& j0 L. k同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。 C& @) q, A+ F. T
* o* `+ j: c/ h按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
+ n; B9 Q2 A" R3 N3 f7 y7 i |
发表于 2012-12-4 22:29:23
收藏
支持
反对