漏洞概要 关注数(233) 关注此漏洞
: c8 ^6 C+ s% Q. q* r9 }( Z2 q* |8 G; l
缺陷编号: WooYun-2012-15569
, q d( a; d+ \% H4 X- z0 i; f0 ?) e5 Q T/ K
漏洞标题: 中国建设银行刷人民币漏洞 7 T+ E! B$ D; d4 Q" h
) T- S; X x$ b2 D# z% V7 _9 {相关厂商: 建设银行2 t1 a, q3 a! @# \: j+ A. p
9 F* o0 y o4 m L7 x& j9 W9 ~
漏洞作者: only_guest. W) G# \* {- B) M7 c
. c* U0 Y, F& b# g" m5 i6 N提交时间: 2012-12-03
! e- L4 D- ~' q- ~; l' h: s. M* T) _- Y+ w
漏洞类型: 设计缺陷/逻辑错误9 ]+ Z* N( h- n. }; w3 L+ I" E. L
M" f2 V3 k3 H. T2 [' ^危害等级: 高1 a4 k: I d- `2 L3 Z6 |& D
! {4 b3 ^6 ?0 H' n漏洞状态: 已交由第三方厂商(cncert国家互联网应急中心)处理 0 W7 ^$ {, G2 t( o6 ]! c
# A; n% ^+ \0 T, `. I
漏洞来源: http://www.wooyun.org
5 G' u1 I b) T# G4 v- |- E4 D5 E! H" o7 f* s1 x! g6 V, J* C5 t
Tags标签: 无 " U4 v) Y! s! @5 k
! Q# v, k( ]* Y3 Y# o9 ?
; q6 n: h+ ?! w0 q
V, A2 c% j2 C. z20人收藏收藏
+ Y1 S/ X: h( Y分享漏洞:
! O- B5 U( T; z- I4 z35
$ S8 a/ u9 J1 M* u5 }2 q( O
5 \! l* I; b+ E) o+ ?( C--------------------------------------------------------------------------------
7 L! b, A" Y' u$ a, w7 ]8 g* |8 R/ ]* H; _& e+ o! `, k0 T
漏洞详情, U: j+ e3 r: } v. f: j
+ e. E* w6 h" `: _7 F
披露状态:. t8 U: F) j7 I& w ?
8 v4 c5 L1 _' d7 |
$ c6 U3 o" K2 ~9 F1 ` o. z
* o% x( { y s2012-12-03: 细节已通知厂商并且等待厂商处理中
6 N' z x! i; Q# o3 m/ u) S6 |2012-12-04: 厂商已经确认,细节仅向厂商公开, @3 ?' K) K) a5 P
' {$ [2 C$ V6 ]& O/ F ~$ M
; U& a9 y, s, u3 v+ o; L" | V; h简要描述:' g+ M9 t* F( ^3 h
! ~8 E" g3 a, r9 j( E2 a. O
偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...# k! ^$ r- }7 D. t5 Z
测试用的.你们收回去就是了.我是良民.
( t* Y# S! f2 ^+ P x" p( z. l$ z
0 x3 b7 w v/ {, R漏洞hash:47b3d87350e20095c8f314b7b6405711
s5 B; H( A) ~0 D0 c. q% @% y- Z# g& E# @
3 g; B$ K" k% [版权声明:转载请注明来源 only_guest@乌云8 h; e% P# I( l' P. Q% @! s* q
: T" I1 M, Q) q: b$ ^--------------------------------------------------------------------------------
, A- f) n9 I5 z
0 C4 j5 s) S( [/ Y# n, Q! o( N漏洞回应8 L- Q2 `8 X0 N, S3 b
9 Z1 z' g* X4 v/ h1 I3 J6 o* D. g: ?
厂商回应:/ R) p ]6 }( V
8 Q4 ~3 }) A: ?4 h
危害等级:高
! C ?' f0 y6 W' X. [" E: S
" }: `. f$ [- R& ~# o S漏洞Rank:12
9 _- s0 F4 c+ K8 y& {+ Z, e- H1 O
2 y' P3 S9 S; N* _) O2 s确认时间:2012-12-04
) f7 }0 D, b* z+ n$ m5 j" v! g
3 W3 d, a D7 s* H1 R5 [4 V( l厂商回复:# T+ N! d6 h3 m* |2 y0 u
7 N- |; v& i2 e2 zCNVD确认漏洞情况,已经转由CNCERT在4日联系建设银行处置,待后续处置反馈。
- j( ^' C3 B* {* F5 _* ` 9 [4 y' L3 `, a4 }# i
同时,近期此类订单篡改(或支付篡改)漏洞在一些网上商城或支付网站频发,对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。
0 I. K1 P ?+ A. P) }/ R8 A - P% v6 r: \2 X
按部分影响完整性、可用性进行评分,基本危害评分6.42(中危),发现技术难度系数1.1,涉及行业或单位影响系数1.7,综合rank=12.000 Q- T0 W7 U9 Y" g& a
|