NatJack : faille de conception NAT compromet TCP et DNS

Quatre techniques pour détourner NAT, dévoilées à Black Hat USA 2026

Le 6 août 2026, lors de la conférence Black Hat USA à Las Vegas, le chercheur indépendant Malcolm Stagg a présenté NatJack, une nouvelle classe d'attaques ciblant les mécanismes de suivi de connexion (connection tracking) au cœur des implémentations NAT (Network Address Translation). La présentation, immédiatement relayée par The Hacker News et Network World, documente quatre techniques permettant à un attaquant partageant la même infrastructure NAT qu'une victime de détourner ses sessions TCP actives, d'empoisonner ses réponses DNS, de cartographier ses ports ouverts ou de saturer les tables de connexion jusqu'au déni de service.

NAT est une technologie réseau omniprésente qui permet à plusieurs appareils de partager une même adresse IP publique. Elle est utilisée dans les routeurs domestiques, les pare-feux d'entreprise, les hyperviseurs cloud, les environnements VPC et les CDN. Son fonctionnement repose sur une table de correspondance interne qui associe chaque connexion sortante à un port source modifié sur l'adresse publique. C'est précisément cette table de suivi que NatJack manipule pour réaliser ses attaques.

La première technique, et la plus sévère, réalise un hijacking actif de connexions TCP. L'attaquant envoie des paquets forgés (spoofés) qui forcent la connexion cible dans un état fermé dans la table NAT. Il insère ensuite sa propre connexion dans le créneau libéré, récupérant ainsi le flux TCP entre la victime et un serveur distant. Cette opération ne requiert qu'un accès réseau sur le même segment NAT que la cible, sans qu'aucune élévation de privilège supplémentaire ne soit nécessaire côté attaquant. Un outil réseau standard suffit à déclencher l'attaque si les conditions de co-résidence sont réunies.

La deuxième technique cible le DNS. En manipulant les entrées de la table NAT, l'attaquant peut substituer de fausses réponses DNS aux requêtes légitimes de la victime, détournant ainsi le trafic vers des serveurs contrôlés. Cette technique est particulièrement redoutable dans les environnements cloud mutualisés où les résolveurs DNS internes sont partagés entre tenants. Un attaquant ayant accès à une VM co-localisée pourrait ainsi rediriger silencieusement des requêtes vers des serveurs malveillants, sans que la victime n'observe d'anomalie au niveau de sa propre configuration réseau.

La troisième technique tire parti de la nature prévisible de certaines implémentations NAT pour inférer les ports ouverts d'autres connexions présentes dans la table. Un attaquant co-tenant peut ainsi cartographier silencieusement l'état réseau de ses voisins, obtenant des informations précieuses pour préparer des attaques ciblées. Dans un contexte cloud, cette reconnaissance passive pourrait permettre d'identifier des services exposés sans déclencher d'alerte dans les systèmes de détection d'intrusion. La quatrième technique, l'épuisement de la table NAT, consiste à saturer sa capacité en générant massivement de nouvelles connexions, provoquant un refus de service pour tous les autres utilisateurs partageant l'infrastructure.

Les tests menés par Malcolm Stagg ont porté sur 32 produits et configurations issus de 13 vendeurs différents. Résultat : chaque implémentation testée était vulnérable à au moins une des quatre techniques. Deux CVE spécifiques ont été attribués pour des faiblesses d'implémentation identifiées : CVE-2026-56181 (score CVSS 8.3) dans le composant Windows NAT utilisé par Hyper-V, et CVE-2026-63913 (score CVSS 8.2) dans Linux Netfilter conntrack. Microsoft et les mainteneurs du noyau Linux ont publié des correctifs partiels, mais ces patches ne couvrent pas l'intégralité des vecteurs d'attaque documentés par le chercheur.

La particularité fondamentale de NatJack réside dans sa nature systémique : les failles ne proviennent pas d'une erreur de code isolée, mais de spécifications contenues dans les RFC qui définissent le comportement du NAT. Les RFC 3022, 5382 et leurs dérivés ne prévoient aucun mécanisme d'authentification ni d'isolation entre connexions partageant la même infrastructure NAT. Aucun correctif ne peut donc résoudre l'ensemble des vecteurs sans une révision profonde des spécifications ou une rearchitecture majeure des implémentations existantes, ce qui en fait un problème structurel de long terme pour l'ensemble de l'industrie réseau.

Les recommandations de mitigation publiées en parallèle de la présentation insistent sur la nécessité de séparer physiquement ou logiquement les workloads non fiables des systèmes sensibles partageant une même infrastructure NAT. Dans les environnements Kubernetes et cloud, cela se traduit par l'utilisation de VPC distincts, de network policies strictes et de microsegmentation au niveau du plan réseau. Les équipes de sécurité sont également invitées à surveiller les logs de connexion NAT pour détecter des patterns anormaux de création ou de fermeture de sessions en rafale, signaux potentiels d'une tentative d'épuisement de table ou d'hijacking actif.

Quand les fondations du réseau deviennent un vecteur d'attaque latérale

NatJack s'inscrit dans une tendance préoccupante qui voit des chercheurs remettre en cause des primitives réseau considérées comme sûres depuis des décennies. À l'image des attaques historiques sur BGP, sur les mécanismes de fragmentation IPv4/IPv6 ou plus récemment sur les protocoles de routage OSPF, NatJack révèle que la confiance implicite accordée aux couches réseau basses est rarement justifiée dans les environnements mutualisés modernes. La communauté de sécurité avait déjà alerté sur les risques de co-résidence dans les clouds publics, mais ces risques se limitaient généralement aux attaques de canal auxiliaire (side-channel) au niveau CPU ou mémoire. NatJack ouvre un nouveau front au niveau réseau pur.

L'impact est particulièrement critique pour les fournisseurs de services cloud et les hébergeurs mutualisant des ressources NAT entre clients. Dans un environnement de cloud public typique, des dizaines voire des centaines de machines virtuelles appartenant à des clients différents peuvent partager le même composant NAT d'un hyperviseur hôte. NatJack transforme ce modèle de partage en vecteur d'attaque latérale inter-tenants, un scénario que les architectes cloud considéraient jusqu'ici comme hors du modèle de menace standard pour les couches réseau basses. Les fournisseurs cloud devront revoir leurs architectures de plan réseau, en particulier pour les offres d'hébergement mutualisé et les solutions d'hyper-convergence.

Les environnements VPN d'entreprise traditionnels sont également concernés. Lorsque des employés ou des appareils tiers se connectent via un concentrateur VPN partagé avec un accès NAT commun, un attaquant ayant compromis un seul endpoint VPN pourrait potentiellement cibler les sessions des autres utilisateurs. Cette implication est d'autant plus significative que le modèle Zero Trust, en pleine adoption dans les grandes organisations, peine encore à couvrir les couches réseau en dessous de la couche application. Les solutions ZTNA actuelles ne protègent pas nativement contre ce type d'attaque au niveau du plan réseau.

Sur le plan réglementaire, NatJack pose des questions concrètes pour les organisations soumises à NIS2 et DORA. Ces cadres exigent une analyse et une maîtrise des risques portant sur les environnements partagés et la chaîne d'approvisionnement numérique. Les RSSI devront probablement documenter les mesures de mitigation adoptées face à NatJack dans leurs registres de risques et lors de leurs audits de conformité. À court terme, l'inventaire des périmètres NAT partagés et l'évaluation du niveau de confiance accordé aux co-tenants constituent les premières actions à planifier dans tout programme de sécurité mature.

Ce qu'il faut retenir

• NatJack expose une faille de design dans les RFC du NAT rendant impossible un correctif universel : Windows (Hyper-V), Linux (Netfilter) et macOS sont tous affectés.
• Appliquer en priorité les correctifs pour CVE-2026-56181 (CVSS 8.3, Hyper-V/Windows NAT) et CVE-2026-63913 (CVSS 8.2, Linux Netfilter conntrack).
• La mitigation principale consiste à isoler les workloads non fiables avec des VPC distincts, des network policies strictes et de la microsegmentation dans les environnements cloud et Kubernetes.