新たに公表された「NatJack」という攻撃クラスは、ネットワークアドレス変換(NAT)インフラに存在する根本的な弱点を露呈させるものです。攻撃者はコネクション追跡の状態を操作することで、TCPセッションを乗っ取ったり、DNSトラフィックを改ざんしたり、マッピングされたポートを漏洩させたり、他のユーザーのネットワークアクセスを妨害したりすることが可能になります。
Black Hat USA 2026でセキュリティ研究者のMalcolm Stagg氏が発表したNatJackは、特定のベンダーやOS、ネットワーク機器に限定されるものではありません。
この攻撃は、NAT実装に長らく組み込まれてきた信頼の前提、すなわち「同じ変換デバイスの背後にいるホスト同士は互いのコネクション状態を悪意を持って変更できない」という前提そのものを狙うものです。
検証の結果、ルーター、ファイアウォール、クラウドサービス、コンテナプラットフォーム、ハイパーバイザーなど、32種類の製品・構成にわたって脆弱な挙動が確認されたと報告されています。
NAT機器はステートテーブル内でアクティブなコネクションを追跡し、プライベートな内部IPアドレス・ポートを外部から到達可能なものにマッピングしています。
NatJackは、この状態管理における弱点を悪用し、別のホストのアクティブなコネクションに紐づくマッピングを削除、置換、あるいは妨害します。
この攻撃クラスには、上流・下流双方向のスプーフィングによるTCPハイジャック、UDP DNS応答のハイジャック、被害者のIPアドレスおよびポートの漏洩、そしてNATテーブルの枯渇攻撃が含まれます。
ARPスプーフィングとは異なり、NatJackは攻撃者と被害者がNAT境界を共有してさえいれば、VLANやサブネット、ブロードキャストドメインで隔てられていても機能します。
つまり、従来型のレイヤー2セグメンテーションやポート分離だけでは、共有NATインフラに対する攻撃を完全には防げない可能性があるということです。あるTCPハイジャックのシナリオでは、攻撃者は細工したパケットを送信し、NAT機器に被害者のアクティブなコネクションを「クローズ済み」と誤認識させます。
その後、攻撃者は被害者の外部アドレスとポートを使って代替のマッピングを確立でき、これによりアプリケーション層のトラフィックを傍受、注入、あるいは妨害できる可能性があります。研究者らが説明する影響を受けるユースケースの中には、長時間持続するHTTP接続も含まれています。
NatJackはまた、UDPのDNS応答を操作する経路も生み出します。攻撃者は被害者のDNSクエリに対する保留中のNATマッピングに介入し、正規の応答を攻撃者が制御するシステムへリダイレクトさせた上で、偽造した応答を被害者に返すことができます。
これにより、DNS完全性保護が存在しない環境では、悪意あるインフラへのリダイレクトが可能になる恐れがあります。また、別のサービス拒否(DoS)手法では、偽装したフローでNATの状態テーブルを埋め尽くし枯渇させることで、正規ユーザーが新規コネクションを開けなくすることが可能です。
Malcolm Stagg氏はさらに、外部にマッピングされている使用中のポート情報を明らかにする可能性があるポート漏洩の手法も文書化しており、これはより標的を絞ったセッション操作の試みを後押しする情報となり得ます。
このリスクが特に関係してくるのは、信頼できるシステムと信頼できないシステムがNATインフラを共有している環境です。具体的には、企業ネットワーク、マルチテナントのクラウド環境、Dockerホスト、Kubernetesノード、仮想マシンプラットフォーム、サーバーレス環境などが挙げられます。
家庭用ルーターも影響を受ける可能性がありますが、通常、悪用には攻撃者が同一ルーターの背後にある特権デバイスまたは信頼できないデバイスを既に制御していることが前提となります。
実装固有の問題として、2件のCVE識別子が割り当てられています。CVE-2026-56181はWindows NATおよびHyper-V構成に影響し、CVE-2026-63913はLinux Netfilterのconntrackに影響します。
Linux向けの修正は細工されたパケットの処理を強化するものですが、NatJackという攻撃クラス自体を根絶するものではありません。
組織はベンダーが提供するアップデートを適用し、NAT機器を共有する信頼できるシステムから信頼できないワークロードを分離し、可能な場合はIP Source Guardなどのアンチスプーフィング制御を有効化した上で、NATテーブルの使用率や異常なSYN/RSTアクティビティを監視すべきです。
内部トラフィックをTLSで暗号化し、認証機能を備えたDNS保護を導入することでも、傍受やDNS操作が成功した場合の影響を軽減できます。AWSは、NAT GatewayおよびNetwork Load Balancerの両サービスにわたり、強化されたTCPリセット検証機能を展開済みであるとしています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全体像を完全に可視化し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/natjack-hijack-tcp-sessions-spoof-dns-nat/