MS01-033

より分かり易く言えば、MicrosoftのWebサーバーであるIISの脆弱性の一つで、攻撃者が送り込んだプログラムを勝手に実行してしまうという、重大なセキュリティホールである。

• サポート技術情報 ‐ 300972
• 脆弱性識別番号
  • CAN-2001-0500

IISのISAPIエクステンションのうち、idq.dllのURL処理部分にバッファーオーバーフローの脆弱性がある。このため長いURLを送り込まれた際に、Webサーバー上で送り込まれたコードが実行される可能性がある。

しかもidq.dllはSystemコンテキストで動作するため事態は深刻であり、この脆弱性を利用すると攻撃者はサーバーを完全に制御することが可能で、そのサーバー上で全ての任意の操作を実行することができる。

2001(平成13)年6月18日に公表され、不具合を修正するサービスパックも追って公開されたが、Code RedおよびCode Red Ⅱワーム感染の温床となった。