"Universal Plug and Play" (UPnP) er en svært brukervennlig egenskap som Microsoft bygget inn i Windows Me og Windows XP. I Windows Me er egenskapen i utgangspunktet slått av, mens fabrikkinnstillingen i Windows XP er at den er på.
Hensikten med UPnP er å automatisere prosessen der enheter på et nettverk oppdager tjenester som er lagt ut på nettverket. En PC med denne funksjonen vil automatisk melde fra om for eksempel hvilke skrivere den har tilgang til, og automatisk sørge for å installere nødvendige drivere dersom brukeren ber om utskrift.
For seks uker siden oppdaget eEye - Digital Security Team at UPnP i Windows XP var utsatt for to sårbarheter som begge gjelder måten UPnP oppdager andre apparater. Den ene sårbarheten gjør det mulig for utenforstående å overta kontrollen over PC-en, den andre kan brukes til å sperre PC-ens tilgang til nettet.
Den første sårbarheten betraktes som kritisk. Microsofts sikkerhetsguru Scott Culp har personlig kontaktet amerikanske medier for å understreke at det er nødvendig at alle brukere av Windows XP installerer fiksen som er lagt ut på Microsoft Security Bulletin MS01-059.
Ifølge Culp, kan enhver som kjenner IP-adressen til en gitt PC, kontrollere den over enhver Internett-forbindelse. Den standard brannmuren i Windows XP gjør oppgaven vanskeligere, men ikke uoverkommelig. Vanlig oppsatte bedriftsbrannmurer gjør utfordringen til hackeren enda større, men igjen, ikke uoverkommelig.
Innenfor en brannmur, eller på et nettverk som gir felles forbindelse til Internett, for eksempel når det gis internettaksess over et kabelnett, er det ikke nødvendig for hackeren å kjenne offerets IP-adresse. Oppdagelsen skjer nærmest av seg selv.
eEye har samarbeidet med Microsoft om fiksen som tetter hullet uten å kverke den ønskede funksjonaliteten i UPnP.
Når detaljene i sårbarheten er kjent, vil det antakelig bare gå noen uker før verktøy som utnytter den, legges ut på nettet. Erfaringen er at de verste angrepene skjer fordi brukere ikke tar advarsler alvorlig, men fortsetter å bruke systemene sine uten å gjøre de nødvendige oppgraderingene for å beskytte seg.
