新たに公表された「NatJack」と呼ばれる攻撃手法群により、現代のネットワークインフラで広く使われているNAT(Network Address Translation)の実装に重大な弱点があることが明らかになりました。
この脆弱性を悪用すると、攻撃者はTCPコネクションを乗っ取ったり、DNS応答を改ざんしたり、トラフィックの流れを妨害したりすることが可能になります。
Vulnerabilityassessment service
NatJackが狙うのはNATのステートテーブルです。この攻撃は、協調的なネットワーク動作を前提とする従来の考え方が、今日のような敵対的でマルチテナントな環境ではもはや通用しないことを浮き彫りにしています。その結果、NATデバイスは安全な境界線ではなく、強力な足がかり(ピボットポイント)になりかねません。
新たなNatJack NAT攻撃
NatJackは、NATデバイスの背後にいる悪意ある攻撃者が既存のトラフィックフローに干渉できる一連のNATテーブル操作技術です。攻撃者は巧妙に細工したスプーフィング(なりすまし)パケットを送ることで、NATマッピングをリアルタイムに改変・置換できます。
この操作により、被害者のコネクション宛てのトラフィックが攻撃者の管理するエンドポイントへリダイレクトされる可能性があります。しかもその間、上流のサーバー側はそのコネクションを正当なものとして扱い続けます。
この攻撃群がもたらす結果は多岐にわたります。
- 既存コネクションのTCPハイジャック(下流・上流双方のなりすまし)
- 応答を改ざんし被害者を悪意あるドメインへ誘導するUDP DNSハイジャック
- 外部NATポートの利用状況が漏れる被害者のIP/ポート情報開示
- 稼働中フローのNATステートを破壊・切断するサービス拒否(DoS)
さらに、これらの弱点はUDPのDNS応答の傍受や改ざんにも悪用可能です。稼働中のセッションを妨害・破損させることができ、対象となるアプリケーションやサービスにサービス拒否状態を引き起こす恐れがあります。
NatJackの調査報告書は、NatJackが特定ベンダー固有の問題ではなく、NATを利用するルーター、ファイアウォール、ハイパーバイザー、仮想スイッチ、クラウドネットワーキングサービスなど幅広いネットワーク機器に影響を及ぼす、構造的な設計上の欠陥であると強調しています。
これまでのテストでは、コンシューマー向けハードウェアからエンタープライズ製品、仮想プラットフォームに至るまで、評価対象となったNAT対応機器はすべて、NatJackのいずれか、あるいはすべての亜種に対して脆弱であることが分かっています。
これにはDockerやKubernetesのブリッジといったコンテナネットワーキングスタック、さらにハイパーバイザーのNAT実装も含まれます。
これらのプラットフォームの多くは、内部テナントやワークロードは概ね信頼できるという前提のもとで設計されてきました。しかし、侵害されたコンテナやVM、ユーザーデバイスが同一のNATインフラ上で機微なサービスと共存するような環境が増えている今、この前提はますます揺らいでいます。
一般家庭のユーザーにとっては、コンシューマー向けルーターは実装レベルで脆弱である可能性が高いものの、実際のリスクは概して低いといえます。悪用するには通常、同じルーターの背後にすでに信頼できない、もしくは侵害されたデバイスが存在し、細工したパケットを生成できるだけの権限を持っている必要があるためです。
一方、企業やサービスプロバイダー、クラウドテナントが直面するリスクははるかに高くなります。典型的なネットワークアーキテクチャでは、信頼できないユーザーエンドポイントとインターネット公開サービス、そして価値の高い内部システムが、共有のルーター、ファイアウォール、NATゲートウェイ、ロードバランサーの背後に混在しているためです。
こうした環境では、NAT配下の何らかの内部ホストやワークロードにアクセスした攻撃者が、たとえ異なるサブネットやVLANに属していても、NatJackを悪用して同じNATデバイスを共有するより機微なシステムのトラフィックに干渉できる可能性があります。
複数のベンダーがすでに部分的な緩和策の実装に着手しています。Microsoftは、Hyper-Vのシナリオに影響するWindows NAT実装のNatJack関連問題をCVE-2026-56181として対応済みです。
この更新により、該当する構成では下流スプーフィング攻撃の実現可能性が低下します。Linuxカーネルのnetfilterサブシステムについても、Linux 7.1以降でCVE-2026-63913としてパッチが提供され、特定のコード上の欠陥を修正するとともに、NATステートの操作をより難しくする緩和策が追加されています。
ただし、これらの変更が完全な解決策とはみなされていません。FreeBSDのPacket Filterはバージョン15.0で、OpenBSDから継承したパッチによる強化が施され、多くの導入環境で下流・上流双方のスプーフィングの実現可能性を大幅に低減しています。それでもなお、さらなる改善の余地は残っています。
クラウドプロバイダーも対策に動いています。AWSは、NAT GatewayおよびNetwork Load Balancerの各サービスについて見直しと強化を行い、コネクションステートの検証(特にTCPリセットの処理)を改善するとともに、ポートの保持時間を延長し、この調査で示されたNATフロー操作のパターンを阻止できるようにしたと確認しています。
AWSによれば、攻撃を成功させるには、攻撃者が標的のコネクションと同じVPC内でEC2インスタンスを制御する必要があり、場合によってはスプーフィング可能な外部サーバーとの連携アクセスも必要になるとのことです。ただし、新たに展開された変更は、顧客側の対応を必要とせずにこれらの脅威を無効化できるよう設計されています。
Hacking& Cracking
組織向けの防御ガイダンスとしては、NATをセキュリティ対策として扱うのをやめ、ベンダーが提供する更新を速やかに適用すること、信頼できないワークロードと価値の高いワークロードが同じNATデバイスを共有するマルチテナント設計を見直すこと、そしてルーター・ファイアウォール・ノードの各レベルでセグメンテーションを強化し、侵害されたテナントによる影響を限定することが求められます。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/new-natjack-nat-attack/
