Microsoft WindowsにおけるWebプロキシ自動発見（WPAD）の脆弱性に関する注意喚起

WPADの脆弱性対応としてJPRSが予約ドメイン名としたそうです。

WPADの探索が「wpad.**.jp」まで遡って行われる可能性があるため、JPRSでは
この脆弱性への対策の一環として、属性型・地域型JPドメイン名において
「wpad」を予約ドメイン名として登録できないものとしました（*5）。

Microsoftのドメインの自動補完による弊害ってやつですか・・・

このURLのホスト名である「wpad」は完全修飾ドメイン名（Fully Qualified
Domain Name; FQDN）ではないため、DNSによる名前解決の際に端末側で上位ド
メイン名を補完してアクセスが行われます。

この補完はDNSの設定で「自動的に補完するドメイン名」の設定にしたがって
行われます。例えば、ドメイン名が「sub.example.co.jp」であれば、まず
「wpad.sub.example.co.jp」から設定情報を得ようとします（*3）。そしてこ
れが失敗した場合、上位ドメイン名を補完して「wpad.example.co.jp」にアク
セスします。そしてさらに「wpad.co.jp」にアクセスします。

ってことで、wpadを作って、PROXY wpad.example.com:80 と記述したら、wpad.example.comのWebページが表示できるんですが

そこにマルウエアとか置かれたらきついだろうなぁ・・・

年初の流行は、wpadを検索して、wpad.datを置くって大改ざん合戦になったりしてｗｗｗｗｗｗｗｗ

ホスティングサービス等で、自ドメイン名のサブドメイン名に利用者の指定す
るドメイン名を登録しているサービスプロバイダ等は、「wpad」というサブド
メイン名が登録された場合にこの脆弱性の影響を受けます。「wpad」というサ
ブドメイン名の登録者が悪意を持って「wpad.dat」を用意した場合に、他のサー
ビス利用者が被害を受ける可能性があります。

自ドメイン名へのサブドメイン名登録を行っているサービスプロバイダ等は、
本脆弱性への対応が十分に普及するまでは、「wpad」の登録について適切な対
応が必要です。

---