NatJack cible les tables NAT : détournement de sessions et exposition de ports

Une classe d’attaques visant l’état des connexions

Le chercheur Malcolm Stagg a présenté à Black Hat USA 2026 NatJack, une classe d’attaques qui manipule l’état des connexions gérées par les équipements NAT.

Cette technique peut permettre de :

• détourner des sessions TCP déjà actives ;
• falsifier des réponses DNS ;
• identifier les ports accessibles depuis Internet ;
• saturer la table NAT et empêcher de nouvelles connexions légitimes.

L’attaque suppose généralement le contrôle privilégié d’un système situé derrière le même NAT que la victime. Elle repose sur une hypothèse de conception courante : les hôtes non fiables qui partagent cet équipement ne devraient pas pouvoir modifier l’état des connexions des autres utilisateurs.

La recherche a mis en évidence des comportements similaires dans des implémentations développées indépendamment, notamment celles utilisées par Windows et Linux.

Comment NatJack modifie les connexions

L’une des techniques remplace le mappage NAT associé à une connexion TCP active. Le trafic de la victime est alors redirigé vers l’attaquant, ce qui permet d’intercepter ou de détourner la session.

Un second scénario concerne le DNS. L’attaquant peut interférer avec une requête de la victime, recevoir lui-même la réponse légitime et transmettre au client une réponse falsifiée.

NatJack peut également servir à rechercher des ports exposés via les mappages externes du NAT. Dans une attaque par saturation, des flux falsifiés sont injectés jusqu’à épuiser l’espace disponible dans la table. Les clients légitimes ne peuvent alors plus établir de nouvelles connexions.

L’impact comprend donc le détournement de sessions, le spoofing DNS, l’exposition de services et le déni de service. Selon les informations disponibles au 7 août 2026, aucune preuve publique d’exploitation dans des attaques réelles n’a été publiée.

Les vulnérabilités identifiées sous Linux et Windows

Sous Linux, le problème est référencé sous CVE-2026-63913, avec un score CVSS de 8.2, dans le module Netfilter conntrack.

Un paquet SYN spécialement conçu, suivi d’un paquet RST doté d’un numéro de séquence invalide, peut faire passer prématurément à l’état fermé une entrée NAT active. La logique conntrack ne vérifie pas correctement le sens du trafic.

Les versions stables corrigées sont :

• 5.10.259
• 5.15.210
• 6.1.176
• 6.6.143
• 6.12.93
• 6.18.35
• 7.0.12
• 7.1

Selon Stagg, la modification corrige le défaut dans le code, sans éliminer complètement la technique plus générale de spoofing en aval. L’attaque devient plus complexe, mais pas impossible.

Sous Windows, la vulnérabilité CVE-2026-56181 concerne le NAT utilisé par Hyper-V et affiche un score CVSS de 8.3. Le problème est classé comme une erreur de validation de la source, exploitable depuis un réseau adjacent.

Les versions concernées sont :

• Windows 11 24H2 antérieures à la build 26100.8875 ;
• Windows 11 25H2 antérieures à la build 26200.8875 ;
• Windows 11 26H1 antérieures à la build 28000.2525 ;
• Windows Server 2025 antérieures à la build 26100.33158.

Portée de la recherche et mesures défensives

Stagg a mené son analyse au moyen de SODIUM-24. Synack indique avoir testé des dizaines de produits réseau réels de plusieurs fournisseurs, avec des preuves de concept exécutées dans des environnements contrôlés.

Il n’existe toutefois pas de matrice complète produit par produit. Outre Windows et Linux, d’autres implémentations NAT pourraient donc être concernées, mais tous les produits vulnérables n’ont pas été publiquement identifiés.

Une étude NDSS publiée en 2024 avait déjà démontré le détournement de connexions TCP par manipulation des mappages NAT : 52 des 67 routeurs testés se sont révélés vulnérables, et l’analyse a abouti à la publication de dix CVE.

Les administrateurs devraient :

• installer les mises à jour indiquées pour Linux et Windows ;
• isoler les workloads non fiables des systèmes de confiance qui partagent le NAT ;
• chiffrer le trafic, y compris au sein des réseaux d’entreprise ;
• activer IP Source Guard, lorsque cette fonctionnalité est disponible ;
• ne pas considérer les correctifs individuels comme une solution générale contre NatJack.

Cette classe d’attaques ne dispose pas d’un correctif unique. La segmentation et le chiffrement restent nécessaires, même après la mise à jour des systèmes.