新たな攻撃手法「NatJack」が判明、NATテーブルの操作でTCPセッション乗っ取りやDNS偽装が可能に

要点

• 研究者のMalcolm Stagg氏が、NATの接続状態を操作する新しい攻撃クラス「NatJack」を発表した。

• 本手法により、アクティブなTCP接続の乗っ取り、DNS応答の偽装、ポートの外部公開、NATテーブルの枯渇が引き起こされる恐れがある。

• Windows（CVE-2026-56181）とLinux（CVE-2026-63913）のそれぞれで個別の脆弱性が特定され、修正パッチが提供されている。

• 攻撃の実行には、被害者と同じNAT環境の背後にあるシステムへの特権アクセスが必要となる。

• 単一の対策パッチは存在しないため、各OSの更新適用やトラフィックの暗号化、ネットワーク分離といった複数の対策が求められる。

• セキュリティ研究者のMalcolm Stagg氏（SODIUM-24所属）は、ネットワークアドレス変換を行うNATの接続追跡エントリーを操作し、同一のNAT環境下にある他システムの通信に干渉する新たな攻撃手法「NatJack」を公開しました。この研究成果は、米国時間2026年8月に開催された「Black Hat USA 2026」で発表されました。WindowsやLinuxといった独立したOS実装の双方で影響が確認されており、基本的な設計上の盲点を突いたものとして注目を集めています。

信頼関係の前提を逆手に取る4つの攻撃経路

NAT（Network Address Translation：プライベートIPアドレスとグローバルIPアドレスを相互に変換する技術）の多くは、「同じNATの背後にあるシステム同士は互いの通信状態を操作しない」という前提で設計されています。NatJackはこの前提の隙を突き、同一NAT内の特権を持つ攻撃者が他システムの接続追跡を操作するもので、主に4つの攻撃経路が存在します。

1つ目は接続中のTCPセッション（確実なデータ通信を行うための接続状態）の乗っ取りで、NATマッピングの書き換えにより通信を攻撃者へリダイレクトします。

2つ目はDNS（ドメイン名とIPアドレスを対応させるシステム）の応答偽装です。被害者のDNSリクエストを妨害して応答を傍受し、偽の応答を返して不正なサイトへ誘導します。

3つ目は外部ポートの公開で、本来保護されている内部システムへのアクセス経路を露出させます。

4つ目はNATテーブルの枯渇で、偽の通信フローで接続テーブルを満杯にし、正常な新規接続を妨害します。

OS固有の脆弱性と影響範囲

本研究に伴い、WindowsとLinuxのそれぞれで具体的な脆弱性が特定され、修正パッチが提供されています。

Windowsの脆弱性は「CVE-2026-56181」（CVSSスコア：8.3）で、Hyper-VなどのWindows NATに存在する送信元検証エラーが原因です。Windows 11（24H2、25H2、26H1）やWindows Server 2025の特定ビルド未満が影響を受けます。

Linuxの脆弱性は「CVE-2026-63913」（CVSSスコア：8.2）で、Netfilter conntrack（接続追跡機能）における接続方向の検証不備に起因します。細工されたSYNパケット（通信開始パケット）と無効なシーケンス番号のRSTパケットを組み合わせることで、NATエントリーを強制終了させられます。Linuxカーネルの安定版（5.10.259や6.1.176など）で修正されましたが、Stagg氏は、この修正は攻撃難易度を上げる緩和策に留まると指摘しています。

求められる複合的な対策と背景

Stagg氏は数十種類の製品をテストし、制御された環境でシステムを乗っ取る実証（PoC）に成功しています。なお、2026年8月7日時点で実際の悪用事例は報告されていません。

本攻撃に対する単一のパッチはないため、組織には複合的な対策が求められます。OSのアップデートに加え、信頼できないワークロード（仮想マシンなど）を信頼されたシステムと同一のNATに配置しない「ネットワーク分離」が推奨されます。また、ネットワーク内の通信暗号化や、送信元IPアドレスの偽装を防ぐ「IP Source Guard」の導入も有効です。

NATの状態操作に関しては、過去にも「NDSS 2024」で同様のTCPハイジャック手法が発表され、テストされたルーターの多くで脆弱性が確認されるなど、継続的な課題となっています。

ネットワークインフラの設計においては、同一ネットワーク内のホスト同士が協調して動作するという前提が古くから採用されてきました。今回の発表は、そうしたインフラ設計の根本にある信頼境界の仮定が、現代のセキュリティ環境下ではリスクになり得ることを改めて浮き彫りにしています。