12306系统本月连曝6漏洞 官方说明未涉核心细节

2012-09-29 08:25    来源:每日经济新闻

 

  针对近期媒体和网民关心的全国铁路新一代客票系统招标问题,昨日(9月28日)下午,铁道部宣传处对《每日经济新闻》记者作出回应。

  但一波未平一波又起,9月27日晚,铁道部官方订票网站12306网上订票系统又被曝出现低级漏洞。

  漏洞被指简单且低级

  国内权威漏洞报告平台“乌云”发布了一份名为 “12306漏洞一包裹”的漏洞,相关厂商为中国铁道科学研究院。乌云指出,在国庆节前订票高峰期,12306也进入了漏洞频发高峰期。这是今年9月份以来,12306出现的第6个漏洞。

  乌云技术负责人还告诉 《每日经济新闻》记者,半月前12306曾曝出一起漏洞,可能直接危害到订票人的信息安全。这些低级漏洞的出现,系统开发方中国铁道科学研究院恐难辞其咎。

  9月27日,一名叫“qiaoy”的网友在乌云网站上提交了一个漏洞报告12306漏洞一包裹,危害等级为“高”。随后,中国铁道科学研究院确认并回复“修补中”。

  乌云网站技术负责人透露,从安全的角度看,这样的漏洞有点简单和低级。“一般网站上线前,公司都会对系统进行系列的严格的测试,所以这种简单的错误和漏洞就会避免。12306曝出低级错误,说明缺乏这种检测措施。”

  9月份以来曝出6个漏洞

  乌云网站统计数据显示,12306从今年2月份开始,除了6月和8月,几乎每月都有漏洞报告,9月份以来竟然曝出高达6个漏洞。而在半个月前12306的确出现一个漏洞,称12306系统修改任意密码,有可能会导致订票人信息泄露。

  从12306曝出的漏洞类型看,主要为SQL注射漏洞、账户体系控制不严、系统/服务运维配置不当、设计缺陷/逻辑错误,其中,SQL注射漏洞这一类型的漏洞最多的,比例达到78%。

  由于铁道部实行购票实名制,低级安全漏洞的出现让不少订票者感到了担忧。

  同时,这份低级漏洞报告,也让系统开发方中国铁道科学研究院浮出水面,因为12306所有的漏洞相关厂商都是该学院的名称。

责编:张开放
0
我要评论
用户名 注册新用户
密码 忘记密码?

专题推荐

商学院第二期:品牌汇

品牌汇

如何理解品牌?企业为什么创立品牌?

共筑中原梦

共筑中原梦

中原梦必须依靠河南一亿人民来实现。