漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-058142
漏洞标题：某金融设备弱口令可致他人交易信息泄漏
相关厂商：深圳市深银联易办事金融服务有限公司
漏洞作者： 袋鼠妈妈
提交时间：2014-04-23 11:32
修复时间：2014-06-07 11:33
公开时间：2014-06-07 11:33
漏洞类型：基础设施弱口令
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-23： 细节已通知厂商并且等待厂商处理中
2014-04-28： 厂商已经确认，细节仅向厂商公开
2014-05-08： 细节向核心白帽子及相关领域专家公开
2014-05-18： 细节向普通白帽子公开
2014-05-28： 细节向实习白帽子公开
2014-06-07： 细节向公众公开
简要描述：
某金融设备弱口令可补打他人交易信息、修改系统配置
详细说明：
去了几个银行(浦发、建行等)，发现都有这个设备:易办事便民支付（型号:新国都K390）。手痒乱按了几下：
1.点击“多任务”，会提示输入功能号
2.
（1）输入“0”，默认密码“000000”，可进行线路调试，POS签到及最后一笔交易的打印
（2）输入“1”，默认密码“000000”，可查看版本号。
（3）输入“2”，默认密码为其服务热线"95105989"，可进行系统核心设置：
漏洞证明：
如上
修复方案：
版权声明：转载请注明来源 袋鼠妈妈@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-04-28 09:32
厂商回复：
CNVD未直接复现，已经将所述情况直接转报给银行业信息化主管部门（银监会信息中心）。
最新状态：
暂无
漏洞评价：
评论
-
会是传统物理金融设备的一个越来越多的风险
-
@abaddon 一声叹息。
-
@abaddon @zeracker 两声叹息
-
@疯狗 @zeracker @abaddon 三声叹息
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)