NatJack-Angriff knackt NAT-Design von Windows, Linux & Mac.
NatJack-Forschung von Synack entdeckt eine bisher unbekannte Angriffsklasse – Cyberkriminelle können Implementierungen der Netzwerkadressübersetzung missbrauchen.
Zusammenfassung (TL; DR):
- Das Synack Red Team hat die Angriffsklasse „NatJack“ vorgestellt. Sie nutzt die Sicherheitslücken in weit verbreiteten NAT-Implementierungen von Windows, Linux und macOS aus.
- Angreifer können durch das Aushebeln von Designannahmen TCP-Verbindungen übernehmen, DNS-Antworten manipulieren oder Denial-of-Service-Angriffe auslösen.
- Da es keinen einzelnen Patch gibt, empfiehlt Synack zur Absicherung eine Verschlüsselung des internen Datenverkehrs sowie eine strikte Netzwerksegmentierung.
NatJack – eine Einordnung
Synack, Plattform für KI- und menschlich gestützte Penetrationstests zur kontinuierlichen Sicherheitsvalidierung, gab heute neue Forschungsergebnisse seines hauseigenen Red Teams vor. Im Mittelpunkt steht NatJack, eine neue Angriffsklasse, die langjährige Vertrauensannahmen in Implementierungen der Netzwerkadressübersetzung ausnutzt.
Tests wiesen das anfällige Verhalten in unabhängig voneinander entwickelten Implementierungen nach, darunter Windows, Linux und macOS. Bislang wurden zwei CVE-Kennungen vergeben.
Forschung über mehrere Jahre
Synack führte die Forschung über mehrere Jahre hinweg durch und nennt dabei sowohl das Synack Red Team als auch sein eigenes Forscher-Pseudonym Sodium-24 von SODIUM-24, LLC. Die Forschung beschreibt vier unterschiedliche Techniken, die Angreifer gegen NAT-Geräte einsetzen können: aktive TCP-Verbindungen zu übernehmen, DNS-Antworten zu manipulieren, die anderen Verbindungen zugewiesenen Ports zu ermitteln und einen Denial-of-Service-Angriff zu erzwingen, indem die NAT-Tabelle eines Geräts vollständig ausgelastet wird.
Bislang wurden zwei CVE-Kennungen vergeben
Bislang wurden zwei CVE-Kennungen vergeben (CVE-2026-56181, betrifft Microsoft Windows NAT in Hyper-V, und CVE-2026-63913, betrifft das Linux-Subsystem netfilter conntrack). Im Zuge der fortlaufenden koordinierten Offenlegung könnten weitere Herstellerhinweise oder CVE-Zuweisungen folgen.
Unabhängige Tests zeigten, dass die zugrunde liegende Schwachstelle in NAT-Implementierungen mehrerer Anbieter mit vollständig unabhängig entwickelten Codebasen vorhanden ist, darunter Windows, Linux und macOS.
NatJack beruht auf einer Designannahme
Im Gegensatz zu Schwachstellen, die auf einen konkreten Programmierfehler zurückgehen, beruht NatJack auf einer Designannahme: Geräte, die sich eine NAT-Tabelle teilen, können einander vertrauen. Diese Annahme galt während des größten Teils der Internetgeschichte, hält adversarialen Bedingungen heute jedoch nicht mehr stand. Da die Schwachstelle verhaltensbedingt und nicht signaturbasiert ist, wird sie von herkömmlichen automatisierten Scans möglicherweise nicht erkannt.
„Unsere Forschung zu NatJack zeigt, warum wirksame Sicherheitstests langjährige Designannahmen hinterfragen müssen, statt nur nach bekannten Softwarefehlern zu suchen“, sagt Angela Heindl-Schober, CMO von Synack.
Für NatJack gibt es keinen einzelnen Patch
Für NatJack gibt es keinen einzelnen Patch. Verfügbare Korrekturen, darunter ein Linux-Kernel-Patch ab Kernel 6.6.142 und ein FreeBSD-Update ab Version 15.0, erhöhen den Aufwand für eine Ausnutzung, schließen die zugrunde liegende Designlücke jedoch nicht.
Synack geht davon aus, dass die Behebung bei den verschiedenen Anbietern schrittweise und über einen längeren Zeitraum erfolgen wird. Bis dahin empfiehlt Synack Unternehmen, die Verschlüsselung des Datenverkehrs, einschließlich des internen Datenverkehrs, zu priorisieren, nicht vertrauenswürdige Workloads von vertrauenswürdigen zu segmentieren und Schutzmechanismen wie IP Source Guard zu aktivieren.
