آسیب‌پذیری UPnP که به‌تازگی کشف شد، میلیاردها دستگاه را تحت تأثیر قرار می‌دهد و برای انواع مختلف فعالیت‌های مخرب ازجمله حملات منع سرویس توزیع‌شده و استخراج داده می‌توان از آن بهره‌برداری کرد. پروتکل UPnP که برای تسهیل کشف خودکار و تعامل با دستگاه‌های موجود در شبکه طراحی شده است، وسیله‌ای برای استفاده در شبکه‌های محلی قابل اطمینان است، زیرا فاقد هر گونه احرازهویت و اعتبارسنجی است.
بسیاری از دستگاه‌های متصل به اینترنت پر کاربرد شامل پشتیبانی از UPnP هستند، اما سرویس Device Protection که ویژگی‌های امنیتی را به UPnP اضافه می‌کند، به‌طور گسترده مورد پذیرش قرار نگرفته است. CERT Coordination Center (CERT/CC) در هشداری که در ۸ ژوئن منتشر شد، درباره‌ی یک آسیب‌پذیری که پروتکل UPnP را تحت تأثیر قرار می‌دهد، هشدار داد. این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا مقدار زیادی از داده‌ها را به مقصدهای دلخواهی که از طریق اینترنت قابل دسترسی هستند، ارسال کنند.
این آسیب‌پذیری که با شناسه‌ی CVE-2020-12695 ردیابی می‌شود و CallStranger نامیده می‌شود، ممکن است توسط مهاجمان راه دور احرازهویت‌نشده برای انجام حملات منع سرویس توزیع‌شده، دور زدن سیستم‌های امنیتی، استخراج داده و اسکن پورت‌های داخلی مورد بهره‌برداری قرار گیرد. CERT/CC بیان می‌کند که اگرچه ارائه‌ی خدمات UPnP در اینترنت معمولاً با پیکربندی نامناسب در نظر گرفته می‌شود، اما طبق اسکن اخیر Shodan برخی از دستگاه‌ها هنوز از طریق اینترنت قابل دسترسی هستند.
این آسیب‌پذیری رایانه‌های ویندوزی، کنسول‌های بازی، تلویزیون‌ها و مسیریاب‌های Asus، Belkin، Broadcom، Cisco، Dell، D-Link، Huawei، Netgear، Samsung، TP-Link، ZTE و بسیاری از مسیریاب‌های دیگر را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری به‌خاطر مقدار سرآیند Callback در تابع UPnP SUBSCRIBE ایجاد می‌شود که توسط یک مهاجم قابل کنترل است و یک آسیب‌پذیری SSRF-like را ایجاد می‌کند که میلیون‌ها دستگاه‌ها متصل به اینترنت و میلیاردها دستگاه شبکه‌ی محلی را تحت تأثیر قرار می‌دهد.
به فروشندگان توصیه می‌شود که برای حفظ امنیت، مشخصات به‌روزرسانی‌شده‌ای را که توسط OCF ارائه می‌شود، پیاده‌سازی کنند. کاربران باید به‌منظور دریافت به‌روزرسانی‌هایی که مشخصات SUBSCRIBE جدید را پیاده‌سازی می‌کند، کانال‌های پشتیبانی شرکت‌ها را تحت نظر داشته باشند.
تولیدکنندگان دستگاه باید قابلیتUPnP SUBSCRIBE را در پیکربندی‌های پیش‌فرض غیرفعال کنند و اطمینان حاصل کنند که برای فعال کردن SUBSCRIBE با هر گونه محدودیت مناسب شبکه رضایت صریح کاربر موردنیاز است. غیرفعال کردن پروتکل UPnP در رابط‌های قابل دسترسی از طریق اینترنت نیز توصیه می‌شود. انتظار نمی‌رود که کاربران خانگی به‌طور مستقیم هدف قرار گیرند. درصورتی‌که دستگاه‌های متصل به اینترنت آن‌ها نقاط انتهایی UPnP داشته باشند، ممکن است از آن‌ها برای حملات منع سرویس توزیع‌شده استفاده شود.
پژوهش‌گران امنیتی خاطرنشان کردند که ممکن است به‌زودی بات‌نت‌ها پیاده‌سازی این روش را با استفاده از دستگاه‌های کاربر نهایی آغاز کنند. شرکت‌ها و سازمان‌ها احتمالاً دستگاه‌های UPnP متصل به اینترنت را مسدود کرده‌اند، اما ممکن است اسکن درگاه‌ها به‌صورت اینترانت به اینترانت به یک معضل تبدیل شود.
