漏洞概要 关注数(233) 关注此漏洞
- v6 I+ j: A9 O- {3 [* w
8 r% g9 i) z" z* p- ~' Y) E: l缺陷编号： WooYun-2012-15569
0 ?% T. b" b- f3 I: [ P4 i! O' z$ t- z5 I- w$ ^ k
漏洞标题： 中国建设银行刷人民币漏洞 3 `% V4 P: b- |% b) ?- {
! S O/ b+ s- H$ ?- @, [4 b, D相关厂商： 建设银行, p! L0 r k% `5 I. B
5 O5 J9 S1 V9 c' A& b, W. D( L
漏洞作者： only_guest
7 n$ d5 h7 E- m
& ^0 p# t* s9 E2 T* `1 q/ ~ x提交时间： 2012-12-03
& F' M, Z( l( Y# Q6 I' Y
! O d0 Y- A; k( W漏洞类型： 设计缺陷/逻辑错误
* X6 l) ^& [& ?& M
# ?& t& G- w7 O$ X+ Q3 Y危害等级： 高
. |8 E# E- y# y* B4 X7 X3 M) }& I
( F! _9 r7 @( N. e5 [5 j漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
; [& |' W/ V0 P3 I0 l+ U
& i% H/ H. O$ \$ G% f9 K漏洞来源： http://www.wooyun.org
- v' p' t& i( X3 j
5 w; u0 u Q; A& H6 a `: W0 @Tags标签： 无
8 I2 |5 X. q9 x2 i) g5 i8 i+ E, ^8 y+ |3 Z( [# s) M
, `2 |5 V) a+ Y/ H3 j6 B
7 f) k* X1 m; G1 X
20人收藏收藏
6 ]9 @$ D4 @: _+ [/ D分享漏洞：
& G8 [- e2 u) I* \& V- N. Q35$ ?+ p8 N8 I8 [' Y( R# @5 @
" ^8 J" y# N o8 [! d9 g3 M# G--------------------------------------------------------------------------------
9 d3 ^) g; F9 l; m1 g% M+ e/ v5 c/ {* i8 L
漏洞详情$ x9 S/ o, M) A8 R" ~! n2 A* G
4 R& f U9 N+ X2 M9 N, u: n披露状态：7 S, ?; Q+ c# N3 ~
1 C, J. I% O9 J9 a |
2 G9 l- L2 |; `2 Z( H! ~9 k' a3 o7 i3 j) T/ X1 i6 a6 i+ D
2012-12-03： 细节已通知厂商并且等待厂商处理中, A/ P+ ?+ f# Z
2012-12-04： 厂商已经确认，细节仅向厂商公开
1 n, s* v! H1 r+ w/ T) p7 x' V9 k9 Y' g8 }
! {+ r8 v$ T, x, {简要描述：# m9 Z; q) j5 F6 u( K/ m) L/ w
2 @) K# i/ y! A& v+ }4 @偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
/ h- w( U. p5 H: G p! H1 G9 m, ^ 测试用的.你们收回去就是了.我是良民.
% g: P' A1 s: Z- M( P+ C$ N& g `9 Q# n; c8 P! m/ [
漏洞hash：47b3d87350e20095c8f314b7b6405711
: N8 P6 ?) ]& V/ _ i/ W1 A; U ~; G& i% B# ?" a
版权声明：转载请注明来源 only_guest@乌云 A1 o9 b! t, @9 U2 o( I
+ i2 c [" L6 s9 N5 \. Y4 s3 q, H--------------------------------------------------------------------------------
. f0 r. [8 ?! T q0 H3 y
# S2 x" G* t( Y# c漏洞回应; K$ @8 Q9 a( Q5 I' H
# I1 l) ~- C3 l; Y" u$ x4 e厂商回应：5 q, X7 ]( f9 d+ t0 o% s X
) |9 V2 e" d- T+ D
危害等级：高! q* r6 v4 f' o& G0 e F3 O
+ q/ d, B* M* a2 S$ G, R漏洞Rank：12 6 z& o' p6 b2 y
/ ~. _' o) w. A1 X. t! k8 g3 ]6 y
确认时间：2012-12-04
: l) v7 G; O1 I8 q
% y3 T* G/ E( q5 @7 J厂商回复：
( J1 ^, C' `: I
& h- {9 O3 L r3 z8 @CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。, ? I( e; L6 s. E% N
' @7 y: r2 H( d6 M0 z" a5 v. @
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。 ]" l# e3 q* ]% i7 Z% a
, l! T4 ^$ E; F0 D. [# w; X
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
0 J! C" X4 j3 a, m# {8 j& m |
发表于 2012-12-4 22:29:23
收藏
支持
反对