Auf den Punkt: Der auf der Black Hat USA 2026 vorgestellte NatJack-Angriff zeigt, dass Network Address Translation über Windows, Linux und macOS hinweg anfällig für Connection Hijacking, DNS-Poisoning und Denial-of-Service ist, ohne dass Layer-2-Schutzmaßnahmen wie VLANs helfen.
Auf der Black Hat USA 2026 hat der unabhängige Forscher Malcolm Stagg (Synack Red Team) mit NatJack eine Angriffsklasse vorgestellt, die die Connection-Tracking-Tabelle von Network Address Translation (NAT) manipuliert. Betroffen sind alle 32 getesteten Produkte und Konfigurationen von 13 benachrichtigten Herstellern.
NAT gilt seit den frühen 1990er-Jahren als Standardmechanismus, um IPv4-Adressknappheit zu umgehen, indem mehrere Geräte eine öffentliche IP-Adresse teilen. Die zugrunde liegende Annahme, dass private Adressen dabei privat bleiben und Peers innerhalb derselben NAT-Grenze vertrauenswürdig sind, hält laut Stagg einer genaueren Prüfung nicht mehr stand. In 95 Testberichten über 32 Produkte und Konfigurationen war jede untersuchte Implementierung für mindestens eine, teils für alle vier NatJack-Techniken anfällig – bestätigt unter Windows, Linux und macOS, obwohl diese Systeme keine gemeinsame NAT-Codebasis nutzen. Das deutet laut Stagg auf eine geteilte Designannahme statt auf einen isolierten Bug hin, mutmaßlich verursacht durch Unterspezifizierung in relevanten RFCs.
Ein Angreifer, der sich die NAT-Grenze mit einem Opfer teilt, kann aktive Verbindungen übernehmen, DNS-Antworten vergiften und Denial-of-Service-Zustände erzwingen – ohne IP-Spoofing oder Zugriff auf die Broadcast-Domain, wie es ältere Layer-2-Angriffe erforderten. Die Technik greift auf Layer 3 und Layer 4 an, weshalb VLAN-Segmentierung und Switch-Port-Isolation keinen Schutz bieten. Im Detail umfasst NatJack vier Techniken: TCP Connection Hijacking (Übernahme einer Verbindung nach erzwungenem Closed-State mittels gespoofter Pakete, beschleunigt durch einen RFC-1337-TIME-WAIT-Assassination-Mechanismus), DNS Response Poisoning (Manipulation von UDP-DNS-Antworten, die durch das NAT laufen), Denial of Service (Erschöpfung der NAT-Tabelle mit Ausfall für alle Geräte hinter demselben NAT) sowie Connection Port Identification (Ermittlung der einem aktiven Verbindungsvorgang zugewiesenen Portnummer als Grundlage für die anderen drei Techniken).
Frühere NAT-Angriffe wie Samy Kamkars NAT Pinning (DEF CON 18 / Black Hat 2010) und NAT Slipstreaming (2020, erweitert 2021 mit Armis) setzten auf Manipulation von Application Level Gateways und erforderten eine Aktion des Opfers, etwa den Besuch einer präparierten Website. Diese Schwachstellen wurden inzwischen gepatcht. NatJack benötigt dagegen weder ALG-Missbrauch noch eine Aktion des Opfers über eine bestehende aktive Verbindung durch dasselbe NAT hinaus.
Die koordinierte Offenlegung verlief uneinheitlich: Während einige Hersteller formale Patches lieferten, wies das Linux-Kernel-Security-Team den Bericht zunächst zurück und bezeichnete ihn laut Stagg als „totally bogus“. Für CISOs bedeutet das, dass Netzwerksegmentierung auf Layer 2 allein nicht ausreicht, um geteilte NAT-Infrastruktur abzusichern, und dass die Absicherung von Verbindungsverfolgung auf Layer 3/4 sowie DNS-Integrität hinter NAT-Gateways überprüft werden sollte, insbesondere in Umgebungen mit gemeinsam genutzten NAT-Grenzen zwischen nicht vollständig vertrauenswürdigen Peers.
Quelle: www.csoonline.com · Erschienen 6. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.