漏洞概要 关注数(233) 关注此漏洞0 G' U0 f1 o4 W; J" G) t
`/ C' s d$ L) @7 K
缺陷编号： WooYun-2012-155692 V0 `) R8 [! D1 p
& g: M9 A+ A2 ~; }( k' [) g漏洞标题： 中国建设银行刷人民币漏洞 4 n/ @5 o1 t6 F! R6 U
" F0 x# \1 n+ u- t5 {( s, {: G. r相关厂商： 建设银行
3 t0 P2 p+ ]" s* d
; t( _- V2 t0 } l( x' t漏洞作者： only_guest1 L! B p3 ~. n" D
3 A* X: a8 f; Q% b8 r0 m6 P5 K提交时间： 2012-12-03
& [' }2 ?5 H3 q. L2 p2 W5 P' d% C! ~: d+ O% n, V
漏洞类型： 设计缺陷/逻辑错误/ _9 @9 k- O' X/ o+ H
, r2 j$ T$ C" g; A4 F/ o) i* W
危害等级： 高- c- x& U8 G3 B
4 F1 `5 V: e; O1 `
漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理
& F) ]" |) F) d3 s" |+ K9 k" q6 a" w6 e% V; _" U
漏洞来源： http://www.wooyun.org
5 p) W7 F5 r' ?" F; z' T
2 _ e# W; {, PTags标签： 无
1 Y. {& a3 L1 ?6 w, C$ w" F$ R% j: h! K5 F& l! c2 V
" {7 K2 J. d3 H0 d1 m7 x: C& d
% A4 I8 l% u4 l# T20人收藏收藏
; |1 i8 [* Q6 i; ]7 m! r0 M分享漏洞：
+ U: `8 u0 o6 e- p35' P0 o9 o+ A( V" l# t v0 ?
% A' N$ E, L+ j( c7 f) L% ^
--------------------------------------------------------------------------------1 n& |0 j: U8 g! S% F( [1 e6 V- M
( ?( [( B3 X. Q3 X9 a' @7 N漏洞详情0 _& L7 B/ X3 d3 |, q
: T; d* q$ g7 E6 N' w
披露状态：* e/ S W( k# X7 ?) P* _
3 C& U) T+ B8 \
' P3 R9 q8 `$ k1 A4 {& U
" y4 L! P1 l2 _( S3 x2012-12-03： 细节已通知厂商并且等待厂商处理中7 j3 k7 N0 C& w0 s8 @) {
2012-12-04： 厂商已经确认，细节仅向厂商公开; c% N8 ~1 u9 n% s* \& V. u: F8 ^
I/ s, J# k8 d
4 L' n% z9 e+ x( K简要描述：
% P& R5 B& \. o3 I2 ?2 i+ w
& C: S% |* |. [4 n; T) d偶然测试发现.就让我再做次标题党吧,我就刷了90块钱...
( ^( o, B( u0 C, P5 i1 v( b+ u$ o 测试用的.你们收回去就是了.我是良民.
' I- ?: ~3 o _' M3 l. I% T2 D8 a$ I1 y W
漏洞hash：47b3d87350e20095c8f314b7b6405711: L4 O3 S# s2 }% X
* p% Y! g' t5 A S
版权声明：转载请注明来源 only_guest@乌云& r# P4 c3 ]' X7 o3 M
5 [2 b! K. J- {) X8 K
--------------------------------------------------------------------------------
h8 {) Y. N, [1 _- N1 O0 K: q
8 y; z' X, r, E& Z& D$ F漏洞回应' K+ d0 T% e @4 P# D) D+ a
' c3 |9 F) r7 O" p0 I% O; r S. j厂商回应：
$ e+ j! U- _# m! Y) V; j1 i: s- ?
$ f4 n8 r: I& J5 W8 E) J" w( s危害等级：高
" t/ [3 S' U1 M( w5 N+ Q
; ?0 z% Y8 Z5 k6 h5 S漏洞Rank：12 % [! j4 T5 f+ g1 Y
& E& F. E0 I% W) Y8 w确认时间：2012-12-04
) H. F+ d' ~9 `6 d' `9 k; i) e$ d% _/ M2 Y9 [8 W+ A2 O4 x6 @! f. a- G
厂商回复：
4 e4 Z! S; G3 ^6 H! o6 S, ^0 n1 Y7 B/ y. ~4 a
CNVD确认漏洞情况，已经转由CNCERT在4日联系建设银行处置，待后续处置反馈。9 x! L. u& c7 d4 N2 B* d5 h0 G
0 B8 _3 ~: z2 f6 R) ]4 y
同时，近期此类订单篡改（或支付篡改）漏洞在一些网上商城或支付网站频发，对于POST方式提交以及订单未进行一致性校验是构成风险的主要原因。2 C0 l$ o# C$ @4 ]% v$ [
R2 n+ X+ S* u9 N: v
按部分影响完整性、可用性进行评分，基本危害评分6.42(中危)，发现技术难度系数1.1，涉及行业或单位影响系数1.7，综合rank=12.00
8 r) X/ @1 ^7 z% Y. e& z6 V; | |
发表于 2012-12-4 22:29:23
收藏
支持
反对