公告

首页 > 公告 > 公告详情

DSRC漏洞评分公告2.0

发布时间: 2017年2月13日

      

公告编号:DSRC-2016-004

公告来源:点融网安全应急响应中心

本评级标准适用于点融网旗下所有产品及业务。将漏洞评级分为五个等级:严重、高危、中危、低危、无。等级评分和范围详情如下:


一、严重:

分值:9-10    安全币:270-300 

1. 直接获取权限的漏洞(服务器权限,移动客户端权限),包括但不限于远程命令执行,任意代码执行,上传获取webshell,sql注入获取系统权限,缓冲区溢出。

2. 严重的信息泄露,包括但不限于重要DB的sql注入。

3. 严重的逻辑设计缺陷和流程缺陷,包括但不限于任意账号密码重置,任意账号资金消费。

4. 直接导致业务拒绝服务的漏洞,包括但不限于服务和系统中的远程拒绝服务。


二、高危:

分值:6-8    安全币:90-120

1. 能直接获取用户身份信息的漏洞,包括但不限于重点页面的存储型XSS,普通站点的SQL注入, 任意文件读取和下载漏洞,SVN 信息泄漏、Git 信息泄露导致的重要产品线源码泄露。

2. 越权访问, 账号越权修改信息,进行订单操作。

3. 未授权访问,包括但不仅限于绕过认证直接访问管理后台、后台弱密码、可直接获取大量内网敏感信息的 SSRF。


三、中危:

分值:3-5    安全币:30-50 

1. 需要交互才能获取用户身份信息的漏洞,包括但不限于反射型XSS,普通站点的存储型XSS,重要敏感操作的CSRF。

2. 普通信息泄露,包括但不限于移动客户端明文存储,源代码压缩包泄露。

3. 可获取敏感信息的移动客户端产品XSS漏洞。

4. 普通越权操作,包括但不限于查看非核心系统的订单信息,记录等,影响业务运行的Broadcast信息伪造等android组件权限漏洞。


四、低危:

分值:1-2    安全币:2-4 

1.   只在特定非流行浏览器环境才能获取用户身份信息的漏洞。包括但不限于反射型XSS(包括反射型 DOM-XSS) 等。 

2.   轻微信息泄漏漏洞。包括但不限于路径泄漏、 phpinfo、logcat敏感信息泄漏 ,移动客户端明文传输。

3.   移动客户端本地拒绝服务漏洞。包括但不限于组件权限导致的本地拒绝服务漏洞。 

4.   URL跳转漏洞 。

5.   难以利用但又可能存在安全隐患的问题。非重要的敏感操作CSRF以及需借助中间人攻击的远程代码执行漏洞并提供了有效 POC。

6.   无限制短信接口,可存在暴力破解的接口。


五、无效

分值:0   无安全币

1.   无法利用的漏洞,比如Self-XSS,无敏感操作的CSRF与无敏感信息泄露的JSON Hijacking,无安全意义的信息泄露,包括源码泄露内网IP地址泄露。无敏感 信息的logcat信息泄露,401基础认证钓鱼。

2.   无关安全的bug,包括但不限于功能无法使用,轻微的路径泄露。


#漏洞认定原则#

  1. 1、同一漏洞多次被提交时,只为首位提报人提供积分评定,其他报告者提交的漏洞被视为无效漏洞。
  2. 2、通用型漏洞、同一漏洞引起的多个问题计数为1个。
  3. 3、在漏洞未修复前被公开的漏洞不计入评分范围。
  4. 4、已在网上公开或内部发现的漏洞不计入评定范围。