CVE-2009-4444 (CNNVD-200912-381)
中文标题:
Microsoft IIS畸形文件扩展名绕过安全限制漏洞
英文标题:
Microsoft Internet Information Services (IIS) 5.x and 6.x uses only the portion of a filename before...
漏洞描述
中文描述:
Microsoft Internet信息服务(IIS)是Microsoft Windows自带的一个网络信息服务器，其中包含HTTP服务功能。 IIS服务器错误的执行了带有多个扩展名的文件中所包含的ASP代码。例如，malicious.asp;.jpg被执行为了ASP文件。很多文件上传程序仅检查文件扩展名的最后部分，因此这可能导致绕过保护机制向服务器上传恶意可执行文件。
英文描述:
Microsoft Internet Information Services (IIS) 5.x and 6.x uses only the portion of a filename before a ; (semicolon) character to determine the file extension, which allows remote attackers to bypass intended extension restrictions of third-party upload applications via a filename with a (1) .asp, (2) .cer, or (3) .asa first extension, followed by a semicolon and a safe extension, as demonstrated by the use of asp.dll to handle a .asp;.jpg file.
CWE类型:
标签:
受影响产品
| 厂商 | 产品 | 版本 | 版本范围 | 平台 | CPE |
|---|---|---|---|---|---|
| microsoft | internet_information_services | 5.0 | - | - |
cpe:2.3:a:microsoft:internet_information_services:5.0:*:*:*:*:*:*:*
|
| microsoft | internet_information_services | 6.0 | - | - |
cpe:2.3:a:microsoft:internet_information_services:6.0:*:*:*:*:*:*:*
|
解决方案
中文解决方案:
英文解决方案:
临时解决方案:
CVSS评分详情
AV:N/AC:M/Au:S/C:P/I:P/A:P
时间信息
利用信息
数据源详情
| 数据源 | 记录ID | 版本 | 提取时间 |
|---|---|---|---|
| CVE | cve_CVE-2009-4444 |
2025-11-11 15:18:13 | 2025-11-11 07:33:04 |
| NVD | nvd_CVE-2009-4444 |
2025-11-11 14:53:01 | 2025-11-11 07:41:52 |
| CNNVD | cnnvd_CNNVD-200912-381 |
2025-11-11 15:09:08 | 2025-11-11 07:49:40 |
版本与语言
安全公告
变更历史
查看详细变更
- vulnerability_type: 未提取 -> 输入验证错误
- cnnvd_id: 未提取 -> CNNVD-200912-381
- data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
查看详细变更
- cvss_score: 未提取 -> 6.0
- cvss_vector: NOT_EXTRACTED -> AV:N/AC:M/Au:S/C:P/I:P/A:P
- cvss_version: NOT_EXTRACTED -> 2.0
- affected_products_count: 0 -> 2
- data_sources: ['cve'] -> ['cve', 'nvd']