微软的Commerce Server 2000 和 Commerce Server 2002 是一款专门用于构建电子商务站点的 web 服务器软件。其自带的工具和特征使电子商务站点的创建和维护变得越来越傻瓜化，因此被广泛使用。
不幸的是 Commerce 服务器中最近被发现存在几个远程缓冲溢出漏洞和一个可导致攻击者执行任意指令的 CGI 漏洞。
Commerce Server 的 Profile 服务可被远程攻击者利用使得服务失败或在本地系统帐号提供的 security context 里运行任意代码。
远程攻击者可利用 Office Web Components (OWC) 的 package installer ，在本地系统的被作为OWC package installer 输入的 security context 中运行任意代码。但是要想执行这些代码，用户必须通过身份验证，所以此漏洞被利用的风险不是很大。
另外，Commerce Server 2000 的 Office Web Components (OWC) package installer 可被攻击者用来通过使用 '/C' 选项传递命令输入到OWC package installer 中去，导致缓冲溢出。
受影响系统: WinNT, Win2K, XP
风险级别: 高风险
解决方案：
下载补丁：
Microsoft Commerce Server 2000:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=39591
Microsoft Commerce Server 2002:
http://www.microsoft.com/Downloads/Release.asp?ReleaseID=39550
