CVE:CVE-2002-0149
CNNVD:CNNVD-200204-023
Microsoft Internet Information Services（IIS）是美国微软（Microsoft）公司的一款适用于Windows Server平台的Web服务器。
Microsoft Internet Information Server 4.0、5.0和5.1版本在处理ASP SSI(服务端包含)存在安全漏洞，允许远程攻击者得到主机的本地访问权限。产生原因是由于在 SSI(服务端包含)的一个安全检查有错误。某些情况下，用户的网页请求能正确地通过在ASP脚本中嵌入文件并处理来完成。在处理嵌入请求之前，IIS会对用户指定的文件名进行检查，以确保文件名有效且其大小能放入一个静态缓冲区。但是，某些情况下，攻击者可以用某种方式提交一个伪造的超长文件名并能通过安全检查，从而导致缓冲区溢出。成功地利用这个漏洞，对于IIS 4.0，远程攻击者可以获取SYSTEM权限；对于IIS 5.0/5.1攻击者可以获取IWAM_computername用户的权限。
solution:Upgrade microsoft internet_information_server to a higher version than 4.0,and avoid the version 4.0; Upgrade microsoft internet_information_services to a higher version than 5.0,and avoid the version 5.0