NatJack, una nueva clase de ataques que pone en duda la seguridad de NAT

Synack, la plataforma de pruebas de penetración que combina IA y expertos humanos para la validación continua de la seguridad, ha anunciado hoy una nueva investigación del miembro del Synack Red Team, Malcolm Stagg, que muestra NatJack, una clase de ataques que aprovecha supuestos de confianza arraigados desde hace tiempo en las implementaciones de traducción de direcciones de red. Stagg ha presentado hoy los resultados en Black Hat USA 2026. Las pruebas han identificado comportamientos vulnerables en implementaciones desarrolladas de forma independiente, como Windows, Linux y macOS, y hasta la fecha se han asignado dos CVE.

Stagg llevó a cabo la investigación durante varios años y atribuye el mérito conjuntamente al Synack Red Team y a su propio alias de investigación, Sodium-24, de SODIUM-24, LLC. La investigación identifica cuatro técnicas distintas que los atacantes pueden usar contra dispositivos NAT: secuestrar conexiones TCP activas, envenenar respuestas DNS, identificar los puertos asignados a otras conexiones y forzar una denegación de servicio agotando la tabla NAT de un dispositivo.

Hasta la fecha se han asignado dos CVE (CVE-2026-56181, que afecta al NAT de Microsoft Windows en Hyper-V, y CVE-2026-63913, que afecta al subsistema conntrack de netfilter en Linux). Es posible que se publiquen más avisos de los fabricantes o se asignen más CVE a medida que continúe la divulgación coordinada. Unas pruebas independientes han revelado que la falla subyacente está presente en implementaciones de NAT de varios proveedores que usan códigos totalmente independientes, como Windows, Linux y macOS.

A diferencia de las vulnerabilidades ligadas a un error de programación específico, NatJack surge de una suposición de diseño: que los dispositivos que comparten una tabla NAT pueden confiar entre sí, algo que se ha dado durante la mayor parte de la historia de Internet, pero que ya no se cumple en condiciones adversas. Como el fallo es de comportamiento y no se basa en firmas, puede que no aparezca en los escaneos automáticos habituales.

«La investigación de Malcolm sobre NatJack demuestra por qué las pruebas de seguridad eficaces deben cuestionar supuestos de diseño arraigados desde hace tiempo, y no limitarse a buscar fallos de software conocidos», afirma Mark Kuhr, cofundador y director técnico de Synack. «Esa profundidad de la creatividad humana es fundamental para el Synack Red Team. Estamos orgullosos de apoyar la investigación de Malcolm y de ayudar a los defensores a comprender y abordar el riesgo».

No hay un único parche para NatJack. Las soluciones disponibles, como un parche del kernel de Linux (kernel 6.6.142 y superiores) y una actualización de FreeBSD (15.0 y superiores), aumentan la dificultad de explotación, pero no subsanan la falla de diseño subyacente.

Synack prevé que las medidas correctivas se vayan implementando de forma gradual por parte de los distintos proveedores a lo largo de un periodo prolongado, y recomienda a las organizaciones que, mientras tanto, den prioridad al cifrado del tráfico (incluso el interno), segmenten las cargas de trabajo no fiables separándolas de las fiables y activen protecciones como IP Source Guard. Los detalles técnicos completos y las recomendaciones de mitigación están disponibles en el informe de investigación de seguridad de Synack sobre NatJack.