NatJack mette nel mirino le tabelle NAT: sessioni dirottate e porte esposte

Una classe d’attacco contro lo stato delle connessioni

Il ricercatore Malcolm Stagg ha presentato a Black Hat USA 2026 NatJack, una classe di attacchi che manipola lo stato delle connessioni gestite dai dispositivi NAT.

La tecnica può consentire di:

• dirottare sessioni TCP già attive;
• falsificare risposte DNS;
• individuare porte raggiungibili da Internet;
• saturare la tabella NAT, impedendo nuove connessioni legittime.

L’attacco presuppone, in generale, il controllo privilegiato di un sistema collocato dietro lo stesso NAT della vittima. Si basa su un’ipotesi progettuale comune: gli host non affidabili che condividono quel dispositivo non dovrebbero poter modificare lo stato delle connessioni altrui.

La ricerca ha rilevato comportamenti analoghi in implementazioni sviluppate separatamente, tra cui quelle utilizzate da Windows e Linux.

Come NatJack altera le connessioni

Una delle tecniche sostituisce la mappatura NAT associata a una connessione TCP attiva. Il traffico della vittima viene così reindirizzato verso l’attaccante, rendendo possibile l’intercettazione o il dirottamento della sessione.

Un secondo scenario riguarda il DNS. L’attaccante può interferire con una richiesta della vittima, facendo arrivare a sé la risposta legittima e inviando al client una risposta contraffatta.

NatJack può inoltre essere utilizzato per cercare porte esposte tramite le mappature esterne del NAT. In un attacco di saturazione, invece, vengono inseriti flussi contraffatti fino a esaurire lo spazio disponibile nella tabella. I client legittimi non riescono più ad aprire nuove connessioni.

L’impatto comprende quindi hijacking di sessioni, spoofing DNS, esposizione di servizi e denial of service. Non risultano prove pubbliche di sfruttamento in attacchi reali secondo le informazioni disponibili al 7 agosto 2026.

Le vulnerabilità identificate su Linux e Windows

Su Linux, il problema è stato registrato come CVE-2026-63913, con punteggio CVSS 8.2, nel modulo Netfilter conntrack.

Un pacchetto SYN appositamente costruito, seguito da un pacchetto RST con numero di sequenza non valido, può portare prematuramente allo stato chiuso una voce NAT attiva. La logica conntrack non verifica correttamente la direzione del traffico.

Le release stabili corrette sono:

• 5.10.259
• 5.15.210
• 6.1.176
• 6.6.143
• 6.12.93
• 6.18.35
• 7.0.12
• 7.1

Secondo Stagg, la modifica risolve il difetto nel codice, ma non elimina completamente la tecnica più ampia di spoofing downstream. L’attacco diventa più complesso, non impossibile.

Su Windows, la vulnerabilità CVE-2026-56181 riguarda il NAT utilizzato da Hyper-V e ha un punteggio CVSS 8.3. Il problema è classificato come un errore nella validazione dell’origine, sfruttabile da una rete adiacente.

Sono interessate:

• Windows 11 24H2 precedenti alla build 26100.8875;
• Windows 11 25H2 precedenti alla build 26200.8875;
• Windows 11 26H1 precedenti alla build 28000.2525;
• Windows Server 2025 precedenti alla build 26100.33158.

Portata della ricerca e misure difensive

Stagg ha svolto l’analisi attraverso SODIUM-24. Synack riferisce test su decine di prodotti reali per infrastrutture di rete appartenenti a più vendor, con prove di concetto eseguite in ambienti controllati.

Non è però disponibile una matrice completa prodotto per prodotto. Oltre a Windows e Linux, è quindi possibile un coinvolgimento di altre implementazioni NAT, ma non tutti i prodotti interessati sono stati identificati pubblicamente.

Un precedente studio NDSS 2024 aveva già mostrato il dirottamento TCP tramite la manipolazione delle mappature NAT: 52 router su 67 testati risultavano vulnerabili e l’analisi aveva prodotto dieci CVE.

Gli amministratori dovrebbero:

• installare gli aggiornamenti indicati per Linux e Windows;
• separare i workload non affidabili dai sistemi affidabili che condividono il NAT;
• cifrare il traffico anche all’interno delle reti aziendali;
• abilitare IP Source Guard, quando disponibile;
• non considerare le singole patch una soluzione generale per NatJack.

Per questa classe di attacchi non esiste una correzione unica. La segmentazione e la cifratura restano necessarie anche dopo l’aggiornamento dei sistemi.