Eine neue Angriffsart sorgt in der IT-Sicherheit für Aufmerksamkeit: NatJack TCP-Sitzungen lässt sich gezielt übernehmen, indem Angreifer den Zustand von Network Address Translation (NAT) in der Verbindungserfassung beeinflussen. In der Praxis bedeutet das, dass bestehende TCP-Verbindungen kapert, DNS-Antworten verfälscht und sogar Informationen über extern gemappte Ports offengelegt werden können. Zusätzlich kann die NAT-Tabelle durch manipulierte Abläufe so stark belastet werden, dass legitime Clients keine neuen Verbindungen mehr aufbauen.
Die Forschung wurde von Malcolm Stagg vorgestellt und auf mehreren unabhängig entstandenen Implementierungen beobachtet. Betroffen sind dem Bericht zufolge sowohl Windows- als auch Linux-Umgebungen, wobei die Details jeweils unterschiedlich ausfallen.
Was steckt hinter NatJack?
NatJack greift eine Annahme an, die in vielen NAT-Implementierungen standardmäßig mitgedacht wird: Systeme, die hinter derselben NAT-Grenze arbeiten, gelten üblicherweise als nicht in der Lage, die Verbindungshistorie voneinander zu verändern. Genau diese Erwartung lässt sich jedoch unter bestimmten Bedingungen brechen.
Der Kern des Problems liegt darin, dass ein Angreifer, der sich ebenfalls hinter dem gleichen NAT befindet, je nach Implementierung Einträge in der Verbindungserfassung (Connection Tracking) manipulieren kann. Dadurch entsteht die Möglichkeit, Datenströme umzuleiten oder Zustände so zu verändern, dass Folgeverbindungen die Kontrolle an den Angreifer übergeben.
Welche Ziele verfolgt der Angriff?
Die Studie beschreibt mehrere Hauptwege, über die ein Angreifer Einfluss auf aktive Verbindungen und Name-Auflösung nehmen kann. Besonders relevant sind vier Kategorien von Auswirkungen.
- Umleitung aktiver TCP-Verbindungen: Durch das Ersetzen eines NAT-Mappings kann Traffic, der eigentlich zu einem Opfer gehört, in eine Richtung gelenkt werden, die dem Angreifer nützt.
- DNS-Spoofing über manipulierte Zustände: Wenn es gelingt, eine DNS-Anfrage so zu beeinflussen, dass die legitime DNS-Antwort beim Angreifer landet, kann im Anschluss eine gefälschte DNS-Antwort zurückgesendet werden.
- Offenlegung gemappter Ports: Bestimmte Techniken können externe Port-Zuordnungen sichtbar machen, die sonst verborgen bleiben.
- Erschöpfung der NAT-Tabelle: Durch das Füllen der Verbindungstabelle mit gespooften Abläufen können Ressourcen so weit verbraucht werden, dass neue Verbindungen legitimer Clients scheitern.
Damit ist NatJack nicht nur ein theoretisches Problem. Es berührt sowohl die Vertraulichkeit (durch mögliche Port- oder Zustandsinformationen) als auch die Integrität und Verfügbarkeit (durch DNS-Fälschungen und NAT-Tabellenerschöpfung).
Betroffene Systeme: Windows und Linux
Für die Forschung wurden zwei implementierungsspezifische Schwächen identifiziert und mit eigenen CVEs versehen. Das bedeutet: Nicht jede Komponente ist identisch verwundbar, aber die Angriffsklasse zeigt wiederkehrende Muster.
Windows: Für die Windows-NAT-Komponente, die in Hyper-V genutzt wird, wurde CVE-2026-56181 vergeben. Der Bericht nennt einen CVSS-Score von 8.3. Laut Beschreibung handelt es sich um einen Origin-Validation-Fehler, der das Spoofing aus einem angrenzenden Netzwerk ermöglicht.
Als betroffen werden Windows-Versionen genannt, jeweils abhängig vom Stand der Updates:
- Windows 11 24H2 vor 26100.8875
- Windows 25H2 vor 26200.8875
- Windows 26H1 vor 28000.2525
- Windows Server 2025 vor 26100.33158
Linux: Auf Linux-Seite betrifft die berichtete Schwäche CVE-2026-63913 im Linux Netfilter conntrack. Der Bericht führt einen CVSS-Score von 8.2 an.
Dem kernel.org CNA-Record zufolge kann eine gezielt konstruierte SYN-Nachricht, gefolgt von einem Reset-Paket mit ungültiger Sequenznummer, einen aktiven Netfilter-NAT-Eintrag zu früh in den geschlossenen Zustand versetzen. Der Grund ist ein Fehler in der Conntrack-Validierung der Richtung. Als fixe stabile Kernel-Releases werden u. a. folgende Versionen genannt: 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 und 7.1.
Wichtig ist dabei die Einordnung: Laut Stagg behebt die Kernel-Änderung den konkreten Programmfehler, sie reduziert jedoch nicht jede denkbare Folgeausprägung vollständig. Stattdessen steigt die Komplexität der Attacke, wodurch der Angriff für Angreifer schwieriger wird.
Warum die Voraussetzung so entscheidend ist
NatJack braucht in der Regel privilegierten Zugang zu einem System hinter demselben NAT wie das Ziel. Diese Voraussetzung ist entscheidend für die Verteidigungsstrategie, denn sie verschiebt die Frage von „nur Perimeterhärtung“ hin zu „Segmentierung innerhalb der Infrastruktur“.
Die Empfehlung fokussiert daher auf das Trennen von untrusted Workloads von trusted Systemen, die sich dieselbe NAT-Infrastruktur teilen. Wenn sich also „vertrauenswürdige“ und „unvertrauenswürdige“ Komponenten denselben NAT-Block teilen, sinkt die Hürde für einen Angreifer, der sich bereits in einem Teilbereich befindet.
Gibt es einen Patch für NatJack?
Für die komplette Angriffsklasse gibt es keinen einzelnen Patch, der automatisch alle Varianten abdeckt. Stattdessen lautet die praktische Botschaft: Organisationen sollten die verfügbaren Windows- und Linux-Updates einspielen, die sich auf die beschriebenen Schwachstellen beziehen. Damit reduziert man das Risiko für die jeweils spezifisch betroffenen Pfade.
Zusätzlich nennt die Forschung weitere Schutzmaßnahmen, die sich ergänzen:
- Verschlüsselung auch intern: Selbst innerhalb interner Netzsegmente sollte verschlüsselter Verkehr genutzt werden, um Spoofing-Angriffe weniger wirksam zu machen.
- IP Source Guard, wo möglich: Diese Maßnahme wird als Empfehlung genannt, um unberechtigte Adressursprünge zu begrenzen.
Damit entsteht ein mehrschichtiger Ansatz: Updates schließen einzelne Lücken, während Segmentierung und Schutzmechanismen den Angriff erschweren oder seine Wirkung begrenzen.
Wie wahrscheinlich ist Ausnutzung in der Praxis?
Zum Zeitpunkt der Veröffentlichung gab es laut Berichtsstand keinen öffentlichen Hinweis, dass NatJack-Techniken bereits in freier Wildbahn ausgenutzt wurden (Stand: 7. August 2026). Das bedeutet nicht, dass kein Missbrauch möglich ist – aber es gibt keine bestätigten Signale für aktiven Einsatz über öffentlich bekannte Vorfälle.
Gleichzeitig zeigt der Bericht, dass Stagg die Techniken gegen Dutzende realer Netzwerk-Infrastrukturprodukte verschiedener Anbieter getestet und die Machbarkeit in einer kontrollierten Umgebung als Proof of Concept demonstriert hat. Außerdem orientiert sich die Forschung an einem übergeordneten Muster: Manipulation von NAT-Zuständen, die zuvor bereits in früheren Studien erkennbar war.
Ein Blick zurück: Anschluss an frühere NAT-Forschung
NatJack baut auf früheren Erkenntnissen zur Manipulation von NAT-State auf. Eine Studie, die auf der NDSS 2024 vorgestellt wurde, zeigte TCP-Hiijacking durch Manipulation von NAT-Mappings. In dieser Arbeit wurden 52 von 67 getesteten Routern als anfällig beschrieben, und daraus sind ebenfalls zehn CVEs hervorgegangen.
Der Zusammenhang macht deutlich: Selbst wenn sich Details unterscheiden, folgt die Logik vieler Angriffe einem gemeinsamen Grundprinzip – nämlich dem Versuch, die Annahmen der Verbindungserfassung auszunutzen.
Handlungsempfehlungen für IT-Teams
Wenn Sie Umgebungen betreiben, in denen NAT eine zentrale Rolle spielt (z. B. Virtualisierung, Container- oder Cloud-nahe Netzarchitekturen), können Sie aus der Forschung konkrete Schritte ableiten.
- Aktualisieren: Prüfen Sie, welche Windows- und Linux-Komponenten in Ihrem Setup NAT/Conntrack-Funktionen bereitstellen, und installieren Sie die genannten Updates.
- Segmentieren: Teilen Sie NAT-Infrastruktur möglichst nicht zwischen vertrauenswürdigen und untrusted Workloads. Wo das nicht geht, erhöhen Sie die Kontrollen und reduzieren Sie die Angriffsfläche.
- Intern verschlüsseln: Nutzen Sie Verschlüsselung innerhalb des Netzwerks, damit gefälschte Antworten oder abgezweigte Streams weniger Schaden anrichten können.
- Netzwerkschutz prüfen: Wo verfügbar, setzen Sie Mechanismen wie IP Source Guard ein, um unplausible Quelladressen zu unterbinden.
So reduzieren Sie nicht nur die Wahrscheinlichkeit, dass NatJack TCP-Sitzungen gelingt, sondern verbessern auch Ihre Resilienz gegenüber verwandten Angriffen, die NAT-Zustände ausnutzen.
Fazit
NatJack ist ein ernstzunehmender Hinweis darauf, dass NAT nicht nur ein „Routing-Werkzeug“ ist, sondern auch sicherheitsrelevante Entscheidungen über Verbindungszustände trifft. Die Angriffslogik kann aktive TCP-Sitzungen umleiten, DNS-Antworten verfälschen, Portinformationen preisgeben oder die NAT-Tabelle erschöpfen. Zwar gibt es für die gesamte Angriffsklasse keinen einzigen Patch, doch mit einem Mix aus Updates, interner Verschlüsselung, geeigneter Segmentierung und – wo möglich – zusätzlichen Schutzmechanismen lässt sich das Risiko deutlich verringern.
Quelle: https://thehackernews.com/2026/08/new-natjack-attacks-hijack-tcp-sessions.html
