漏洞概要 关注数(233) 关注此漏洞
* \: h1 e" W; b$ V- R
4 z9 r0 k0 }; @0 X" E缺陷编号: WooYun-2012-15569. B1 J1 e2 A: w0 g
" H; X2 z/ g3 o! b" v漏洞标题: 中国建设银行刷人民币漏洞
3 ^, u; L. h5 v' e, s8 O" F; w$ D
+ v; `9 M2 G& ]8 \1 s& w相关厂商: 建设银行
6 E- |7 }& G* X5 e8 j5 b, `) s, t* f( V" E( H* J
漏洞作者: only_guest
" ?) i& P8 V: u+ I: K5 ~
- S; Y: G @7 m2 T; a提交时间: 2012-12-03
. ]. L; ^+ ]% c/ z( c: _; z' S' s& _! C
漏洞类型: 设计缺陷/逻辑错误
0 X& z, f8 E* Q3 `7 i8 h4 l7 J4 k e& f' w6 P {
危害等级: 高# b+ S' z. u3 G$ y4 b
9 [; X. k3 e0 y: ~' J. ]漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 5 v9 A+ x" O2 b! w# E6 F5 M* z# z
, q+ X) H9 h0 ^4 Q" @
漏洞来源: http://www.wooyun.org
; e% b# a& h6 J) Z+ Y! j; |, R3 j2 T- J' E5 s
Tags标签: 无
$ H/ `1 g |" w o. W; B
2 T3 u! Q: g' I, [+ \. I& e
0 D: q* c l8 P, j6 J! J' _, _: @6 n7 D5 g3 a- n
20人收藏收藏
7 W/ W* n) ]& q( K+ d分享漏洞:
; N" I3 J' [# n0 Q35' _+ J0 B8 t* y; h2 }
% K& Z) X9 a8 M
--------------------------------------------------------------------------------
A+ P- [- c! h( e1 @9 |
) Y0 z8 ^9 v# p+ I漏洞详情0 i( i( _ G" w; y: n5 X7 _
+ s# g: f' H* ~; ?1 p* P
披露状态:8 D0 z8 l) l- d: i& }
2 o1 v5 v( C4 |/ i- b) {
7 A: K. y2 [4 B; z/ z' @0 }
7 p) R- M0 D0 v4 u, X2012-12-03: 细节已通知厂商并且等待厂商处理中
/ v; p& F& _) n7 v. a" q C2012-12-04: 厂商已经确认,细节仅向厂商公开
' C4 c7 f; g" f1 ~: s
( b9 W3 I; E- _1 f/ }2 ~! Q. T4 c
简要描述:
: t' P: ^3 [3 T+ T K: I+ w; y* v+ I D3 L$ G; Y0 a
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
( Q, i0 o: V6 W2 {$ d0 F 测试用的.你们收回去就是了.我是良民.
2 @1 v6 W; y3 ?" W% w Y) p) O$ d$ C: F; O8 X
漏洞hash:47b3d87350e20095c8f314b7b6405711
0 _% R) J6 Y$ Z7 u; S' E: W1 }4 O. {& K0 \% W) O3 K j
版权声明:转载请注明来源 only_guest@乌云
, Z5 ^# b4 S$ z( X$ c5 J# B
" O4 ^$ [& v2 H5 [* N--------------------------------------------------------------------------------7 E8 y! k, P# n8 F4 |0 {# k
; a2 k t0 C& g8 e! g: o漏洞回应) i- S- S% h5 J [! N* c. f
0 u$ W! ], p- j5 u2 C) B# N( g厂商回应:% Y( z! ^ ?+ A+ i
/ l) h& h, T% g0 H8 R危害等级:高
! H" Q! h- n- ?8 K/ w$ X: Z
]% F( [: P, e s d漏洞Rank:12 ! |( S* l# o# n- `
1 ?, @, ?4 p) {# b4 x确认时间:2012-12-04
' g0 D( J; W8 s- d3 e( ?% Z: w; L+ ~" n" q# [& R2 v/ D/ M
厂商回复:( Y, ~3 _2 F4 ?" ^3 p3 c8 e" B
9 k% T# I$ c3 ]
CNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。0 f5 r. f2 c4 J; p$ W
: m1 Y3 m' b* t! i% w5 l( @
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
: N, M9 T& s$ X4 n0 [0 ~" D9 }
/ L) r1 \9 z7 Z0 ~按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.00; k& F% ^) i4 G1 f T' k
|