Beveiligingsonderzoeker Malcolm Stagg heeft een nieuwe aanvalsklasse onthuld genaamd NatJack dat de NAT-verbindingsstatus (Network Address Translation) manipuleert om actieve TCP-sessies te kapen, DNS-reacties te vervalsen, toegewezen poorten bloot te leggen en NAT-tabellen uit te putten.
Het onderzoek, gepresenteerd op Black Hat USA 2026, vond beïnvloed gedrag bij onafhankelijk ontwikkelde implementaties, waaronder Windows en Linux.
Er zijn twee implementatiespecifieke tekortkomingen toegewezen aan CVE’s: CVE-2026-56181 (CVSS-score: 8,3) in Windows NAT gebruikt door Hyper-V, en CVE-2026-63913 (CVSS-score: 8.2) in Linux Netfilter conntrack.
NatJack vereist doorgaans dat de aanvaller bevoorrechte toegang heeft tot een systeem achter dezelfde NAT als het slachtoffer. In de mitigatierichtlijnen wordt daarom de nadruk gelegd op het scheiden van niet-vertrouwde workloads van vertrouwde systemen die een NAT-infrastructuur delen.
Er is geen enkele patch voor de bredere aanvalsklasse. Organisaties moeten beschikbare Windows- en Linux-updates toepassen en verkeer versleutelen, zelfs binnen interne netwerken. Het onderzoek beveelt waar van toepassing ook Internet Protocol (IP) Source Guard aan.
Het NatJack-onderzoek, onafhankelijk uitgevoerd door Stagg via SODIUM-24, richt zich op een veronderstelling die in veel NAT-implementaties is ingebouwd: van hosts achter dezelfde NAT wordt over het algemeen aangenomen dat ze elkaars verbindingsstatus niet manipuleren. Een aanvaller die een systeem achter dezelfde NAT bestuurt, kan, afhankelijk van de implementatie, gegevens voor het volgen van verbindingen van een ander systeem manipuleren.
Het onderzoek beschrijft vier hoofdpaden. U kunt verkeer van een actieve TCP-verbinding omleiden door de NAT-toewijzing ervan te vervangen. Een ander interfereert met het DNS-verzoek van een slachtoffer, zodat het legitieme DNS-antwoord de aanvaller bereikt, waardoor een vervalst antwoord kan worden teruggestuurd.
Andere technieken maken extern toegewezen poorten openbaar of vullen de NAT-verbindingstabel met vervalste stromen totdat legitieme clients geen nieuwe verbindingen meer kunnen maken.
Synack zei dat Stagg de technieken testte met tientallen real-world netwerkinfrastructuurproducten van meerdere leveranciers en proof-of-concept-exploitatie demonstreerde in een gecontroleerde omgeving.
De NatJack-site publiceert geen volledige product-voor-productmatrix. The Hacker News heeft geen openbaar bewijs gevonden dat NatJack-technieken sinds 7 augustus 2026 in het wild zijn uitgebuit.
Voor Linux zegt het kernel.org CNA-record dat een vervaardigde SYN gevolgd door een resetpakket met een ongeldig volgnummer een actieve Netfilter NAT-ingang voortijdig in een gesloten toestand kan forceren, omdat de conntrack-logica er niet in slaagde de richting ervan te valideren. Vaste stabiele releases zijn onder meer 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 en 7.1.
Stagg zegt dat de kernelwijziging de codefout verhelpt, maar alleen de bredere downstream-spoofing-techniek verzacht, waardoor de aanvalscomplexiteit toeneemt in plaats van deze volledig aan te pakken.
Het CNA-record van Microsoft beschrijft het Windows-probleem als een oorsprongsvalidatiefout die spoofing vanuit een aangrenzend netwerk mogelijk maakt. Betrokken releases omvatten Windows 11 24H2 vóór 26100.8875, 25H2 vóór 26200.8875, 26H1 vóór 28000.2525 en Windows Server 2025 vóór 26100.33158.
NatJack bouwt ook voort op eerder onderzoek naar NAT-state manipulatie. Een NDSS-onderzoek uit 2024 demonstreerde TCP-kaping door middel van manipulatie van NAT-kaarten en ontdekte dat 52 van de 67 geteste routers vatbaar waren voor aanvallen, werk dat tien CVE’s opleverde.
