UPnP機能がDDoS攻撃に悪用されたり、機器の内部情報を送信させる可能性が報告されています。

UPnP（Universal Plug and Play）は、対応機器をネットワークに接続するだけでネットワーク上の様々なサービスを利用できるようにする機能です。

UPnPプロトコルでは、デバイスが外部（インターネット）からアクセス可能な状態で接続運用されることを想定していませんが、実際には多くの機器がインターネット経由でアクセスできる状態にあり、アクセス可能な状態で接続運用されている場合には、DDoS攻撃に悪用されたり、機器の内部情報を送信させる危険があると指摘されています。

・参考情報

• JVN
  JVNVU#95827565
  UPnP プロトコルを実装した機器に対する攻撃手法について(CallStranger)
  

当社のネットワーク機器（FITELnet製品）においても、UPnP機能を提供しているものがあり、ご利用方法によっては本件脆弱性の影響を受ける可能性があります。なお、UPnP機能はデフォルトではOFF（無効）となっております。

UPnP機能を無効化していれば影響を受けません。

設定コマンド：
　upnp-server enable が設定されていなければ、UPnPは無効となります。

UPnP機能を利用できる端末を、UPnP機能の利用が必要な信頼できる端末（例えばIP電話サーバ）のみとするようにACLを設定することで、LAN側のその他の端末からのUPnPアクセスを制限することができます。

設定コマンド（例：x.x.x.xのみを許可する）：
　upnp-server access-group 1
　access-list 1 permit x.x.x.x 0.0.0.0