「Black Hat USA 2016」レポートの第1回記事では、NetBIOSの「BadTunnel」脆弱性を悪用する攻撃例として「WPAD(Web Proxy Auto-Discovery)」を組み合わせた手法が登場した。だが実は、このWPAD自体にも、未だ修正されていない別の脆弱性が存在する。 8月5日、Black Hatの講演で登壇した元トレンドマイクロのマキシム・ゴンチャロフ氏が、「badWPAD」と名付けられたこの脆弱性の実態調査結果を発表した。これを悪用すれば、ターゲットを攻撃者のプロキシサーバーに接続させることができ、フィッシングサイトへの誘導、偽の認証画面を使ったログイン情報詐取(中間者攻撃)、通信内容の監視など、幅広い攻撃が可能になる。 しかもゴンチャロフ氏の調査では、東京都が使っている多数のクライアントPCが、現在進行形でそのリスクを抱えていることも具体的に明らかにさ
![東京都庁の通信内容がダダ漏れ危機?「badWPAD」脆弱性とは (1/2)](https://cdn-ak-scissors.b.st-hatena.com/image/square/bcaab5ae2ed829ce89024452c6db8d5d07a9f213/height=288;version=1;width=512/https%3A%2F%2Fascii.jp%2Fimg%2F2016%2F08%2F17%2F529637%2Fl%2Fb144a3e77f576248.jpg%3F20200122)