可以利用影响到数十亿设备的最新披露的UPnP漏洞进行各种类型的恶意活动，包括分布式拒绝服务DDoS攻击和数据泄露。

UPnP协议旨在促进自动发现并与网络上的设备进行交互，因为它缺乏任何形式的身份验证或验证，因此可在受信任的局域网（LAN）中使用。

许多常用的Internet连接设备都支持UPnP，但是为UPnP添加安全功能的设备保护服务并未得到广泛采用。

在周一发布的警报中，CERT协调中心（CERT / CC）警告说，一个漏洞会影响4月17日之前生效的协议，当时开放连接基金会（OCF）更新了UPnP协议规范。该漏洞可能使攻击者将“大量数据发送到可通过Internet访问的任意目的地”。

漏洞被跟踪为CVE-2020-12695，被称为CallStranger，可以被未经身份验证的远程攻击者滥用，以进行DDoS攻击，绕过安全系统和泄露数据以及扫描内部端口。

CERT / CC指出：“尽管在互联网上提供UPnP服务通常被认为是一种错误的配置，但根据最近的Shodan扫描，仍有许多设备可以通过互联网使用。”

该漏洞是由安永土耳其公司的YunusÇadırcı发现的，它会影响Windows PC，游戏机，华硕，Belkin，Broadcom，Cisco，Dell，D-Link，华为，Netgear，三星，TP-Link，ZTE等的电视和路由器。很多其他的。

Çadırcı解释说：“ [漏洞]是由UPnP SUBSCRIBE函数中的回调标头值引起的，攻击者可以控制该漏洞并启用类似SSRF的漏洞，该漏洞影响数百万个面向Internet的互联网和数十亿个LAN设备。”

为了保持保护，建议供应商实施OCF提供的更新规范。用户应留意供应商支持渠道以了解实施新的SUBSCRIBE规范的更新。

设备制造商应在默认配置中禁用UPnP SUBSCRIBE功能，并确保需要明确的用户同意才能以任何适当的网络限制启用SUBSCRIBE。还建议在Internet可访问的接口上禁用UPnP协议。

“家庭用户不应直接成为目标。如果其面向Internet的设备具有UPnP端点，则其设备可用于DDoS源。询问您的ISP，您的路由器是否具有面向Internet的带有CallStranger漏洞的UPnP —有数百万个消费者设备暴露于Internet。不要移植到UPnP端点。”Çadırcı说。

安全研究人员还指出，僵尸网络可能会通过消耗最终用户设备来很快开始实施该技术。企业可能已经阻止了Internet公开的UPnP设备，但是内部网到内部网端口扫描预计将成为一个问题。