CVE:CVE-2009-1135
CNNVD:CNNVD-200907-255
ISA Server是微软产品家族之一，可以提供企业防火墙和高性能的Web缓存 。
如果对ISA Server 2006配置了使用RADIUS OTP的基于表单认证(FBA)，则当该服务器从用户代理接收到请求要求回退到HTTP-Basic认证时，ISA就无法正确地认证该请求。如果配置了KCD，ISA会继续对已发布的服务器使用KCD进行认证。对于知道管理员账号用户名的攻击者，成功利用这个漏洞可以完全控制依赖ISA Server 2006 Web发布规则进行认证的系统。攻击者随后可安装程序；查看、更改或删除数据；或者创建拥有完全管理权限的新帐户 。
solution:Upgrade microsoft isa_server to a higher version than 2006,2006:sp1,2006:supportability,and avoid the version 2006,2006:sp1,2006:supportability