Investigaciones recientes del experto en seguridad Malcolm Stagg han revelado NatJack, una nueva clase de ataques que explota la forma en que los sistemas de Network Address Translation (NAT) gestionan el estado de las conexiones. Estos ataques permiten a un adversario secuestrar sesiones TCP activas, suplantar respuestas DNS, exponer puertos mapeados externamente e incluso saturar las tablas NAT, interrumpiendo las comunicaciones legítimas.
El comportamiento vulnerable se ha identificado en diversas implementaciones, incluyendo los sistemas NAT de Windows (usado en Hyper-V) y Netfilter conntrack de Linux. Se han asignado dos CVEs específicos: CVE-2026-56181 (CVSS 8.3) para Windows y CVE-2026-63913 (CVSS 8.2) para Linux. Generalmente, el atacante debe tener acceso privilegiado a un sistema que se encuentre detrás del mismo NAT que la víctima, lo que lo convierte en una amenaza interna o post-explotación.
NatJack explota la suposición de que los hosts detrás de un mismo NAT no manipularán el estado de conexión de otros. Las técnicas descritas incluyen la redirección de tráfico TCP, la interferencia con solicitudes DNS para interceptar respuestas legítimas y enviar respuestas falsificadas, la revelación de puertos externos y la denegación de servicio mediante la saturación de la tabla de conexiones NAT. Las versiones de Linux afectadas incluyen kernels estables anteriores a 5.10.259, 5.15.210, 6.1.176, entre otros, mientras que en Windows afecta versiones como Windows 11 24H2 y Windows Server 2025 anteriores a ciertas actualizaciones.
No existe un único parche universal para la clase de ataque NatJack en su totalidad. Las organizaciones deben aplicar las actualizaciones de seguridad disponibles para sus sistemas Windows y Linux. Adicionalmente, se recomienda enfáticamente la separación de cargas de trabajo no confiables de sistemas críticos que compartan infraestructura NAT, cifrar el tráfico incluso dentro de redes internas y considerar la implementación de IP Source Guard donde sea aplicable para prevenir la suplantación de direcciones IP.
Qué significa para tu empresa: Los ataques NatJack subrayan la importancia de una configuración de red robusta y segura. Una implementación y gestión adecuadas de un firewall perimetral NGFW (Next-Generation Firewall) es fundamental, ya que estos dispositivos no solo manejan NAT, sino que también ofrecen inspección profunda de paquetes, sistemas de prevención de intrusiones (IPS), control de aplicaciones y la capacidad de aplicar políticas de seguridad granulares que pueden mitigar riesgos derivados de manipulaciones en la tabla NAT. Nuestros expertos, con más de 20 años de experiencia y como partner especialista de Fortinet, pueden ayudarle a fortalecer su postura de seguridad perimetral.
Fuente original: The Hacker News — ver artículo →