中国工商网银助(工商网银助手官方下载安装)

缺陷编号： WooYun-2015-96339

漏洞标题： 工商银行安全控件可导致远程任意安装代码执行（新型技术点）

相关助厂商： 工商银行

漏洞作者： MITM

提交时间： 2015-02-09 12:38

公开时间： 2015-05-10 14:03

漏洞类型： 远程代码执行

危害等级： 高

自评Rank： 18

漏洞状态： 已交由第三方合作机构(工商cnce中国rt国家互联网应急中心)处理

漏洞来源： http://www.w助手ooyun.org

Tags标签： 远程代码执行客户端安全浏览器插件中国漏洞

视频概况：

漏洞详情

披露状态：

2015-0助手2-09： 细节已官方通知厂商并且等待厂商处理中

2015-02-09： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放

2015-04-05： 细网银节向核心白帽子及相关领域专家公开

2015-04-15： 细节向普通白帽子公开

2015-04-助25：下载 细节向实习白帽子公开

2015-05-1官方0： 细节向公众公开

简要网银描述：

某网上银行安全控件可导致远程任意代码执行。

详细说明：

其实这个漏洞涉及两个厂下载商的安全控件：中国工商银行网银助手（安装版本：1.5.3.0）[1]和支付宝安全控件（版本：5.0.0.3597）[2]。需要用户两个都安装，才好利用。另外需要使用IE浏览器，IE版本不限。

目前乌云已经将该漏洞提交第三方合作机构(cncert国工商家互联网应急中心)处理。