漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014066
漏洞标题：E路通电子银行终端机 绕过沙盒
相关厂商：中国建设银行
漏洞作者： Air
提交时间：2012-10-30 13:03
修复时间：2012-12-14 13:04
公开时间：2012-12-14 13:04
漏洞类型：权限控制绕过
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-30： 细节已通知厂商并且等待厂商处理中
2012-11-03： 厂商已经确认，细节仅向厂商公开
2012-11-06： 细节向第三方安全合作伙伴开放
2012-12-28： 细节向核心白帽子及相关领域专家公开
2013-01-07： 细节向普通白帽子公开
2013-01-17： 细节向实习白帽子公开
2012-12-14： 细节向公众公开
简要描述：
E路通电子银行终端机，就是这些电子银行终端机有USB插口，它是用来插“优盾”用的，黑客将病毒写进优盘 绕过沙盒 然后感染银行内网！！。
详细说明：
0x01:点击“评价”随便输入字母，使系统报错，绕过沙盒（淫手要快）：
0x02:SET的teensy USBhid功能,用Arduino将病毒写进优盘里,然后感染银行（省略）
漏洞证明：
修复方案：
你们比我专业。
版权声明：转载请注明来源 Air@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2012-11-03 21:58
厂商回复：
CNVD确认漏洞情况，转由CNCERT直接通报中国建设银行信息化主管部门。
不过，针对该类型终端的UI权限绕过已经不止一例，目前，银行行业或者其他如电信、公用事业等单位对此类安全问题还未引起足够重视。
按以往评分，rank 5
最新状态：
暂无