📰 Informação fresquinha chegando para você!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O pesquisador de segurança Malcolm Stagg divulgou uma nova classe de ataque chamada NatJack que manipula o estado da conexão de tradução de endereço de rede (NAT) para sequestrar sessões TCP ativas, falsificar respostas DNS, expor portas mapeadas e esgotar tabelas NAT.
Apresentada na Black Hat USA 2026, a pesquisa encontrou comportamento afetado em implementações desenvolvidas de forma independente, incluindo Windows e Linux.
Duas falhas específicas de implementação foram atribuídas a CVEs: CVE-2026-56181 (pontuação CVSS: 8,3) no Windows NAT usado pelo Hyper-V e CVE-2026-63913 (pontuação CVSS: 8,2) no Linux Netfilter conntrack.
O NatJack geralmente exige que o invasor tenha acesso privilegiado a um sistema por trás do mesmo NAT da vítima. A orientação de mitigação enfatiza, portanto, a separação de cargas de trabalho não confiáveis de sistemas confiáveis que compartilham infraestrutura NAT.
Não existe um patch único para a classe de ataque mais ampla. As organizações devem aplicar as atualizações disponíveis do Windows e Linux e criptografar o tráfego mesmo em redes internas. A pesquisa também recomenda o Protocolo de Internet (IP) Source Guard, quando aplicável.
A pesquisa NatJack, conduzida de forma independente pela Stagg por meio do SODIUM-24, tem como alvo uma suposição incorporada em muitas implementações de NAT: geralmente presume-se que os hosts por trás do mesmo NAT não manipulam o estado de conexão uns dos outros. Um invasor que controla um sistema por trás do mesmo NAT pode, dependendo da implementação, manipular entradas de rastreamento de conexão pertencentes a outro sistema.
A pesquisa descreve quatro caminhos principais. Pode-se redirecionar o tráfego de uma conexão TCP ativa substituindo seu mapeamento NAT. Outro interfere na solicitação de DNS da vítima para que a resposta DNS legítima chegue ao invasor, permitindo que uma resposta forjada seja enviada de volta.
Outras técnicas divulgam portas mapeadas externamente ou preenchem a tabela de conexões NAT com fluxos falsificados até que clientes legítimos não consigam criar novas conexões.
Synack disse Stagg testou as técnicas em dezenas de produtos de infraestrutura de rede do mundo real de vários fornecedores e demonstrou exploração de prova de conceito em um ambiente controlado.
O site NatJack não publica uma matriz completa produto por produto. O Hacker News não encontrou nenhuma evidência pública de que as técnicas do NatJack tenham sido exploradas em estado selvagem desde 7 de agosto de 2026.
Para Linux, o registro CNA do kernel.org diz que um SYN elaborado seguido por um pacote de redefinição com um número de sequência inválido pode forçar prematuramente uma entrada ativa do Netfilter NAT a um estado fechado porque a lógica conntrack falhou ao validar sua direção. As versões estáveis fixas incluem 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 e 7.1.
Stagg diz que a mudança no kernel corrige a falha do código, mas apenas mitiga a técnica mais ampla de falsificação downstream, aumentando a complexidade do ataque em vez de resolvê-la completamente.
O registro CNA da Microsoft descreve o problema do Windows como um erro de validação de origem que permite a falsificação de uma rede adjacente. As versões afetadas incluem Windows 11 24H2 antes de 26100.8875, 25H2 antes de 26200.8875, 26H1 antes de 28000.2525 e Windows Server 2025 antes de 26100.33158.
O NatJack também se baseia em pesquisas anteriores sobre a manipulação do estado NAT. Um estudo NDSS 2024 demonstrou o sequestro de TCP por meio da manipulação de mapeamento NAT e encontrou 52 dos 67 roteadores testados suscetíveis ao ataque, trabalho que produziu dez CVEs.
Apresentada na Black Hat USA 2026, a pesquisa encontrou comportamento afetado em implementações desenvolvidas de forma independente, incluindo Windows e Linux.
Duas falhas específicas de implementação foram atribuídas a CVEs: CVE-2026-56181 (pontuação CVSS: 8,3) no Windows NAT usado pelo Hyper-V e CVE-2026-63913 (pontuação CVSS: 8,2) no Linux Netfilter conntrack.
O NatJack geralmente exige que o invasor tenha acesso privilegiado a um sistema por trás do mesmo NAT da vítima. A orientação de mitigação enfatiza, portanto, a separação de cargas de trabalho não confiáveis de sistemas confiáveis que compartilham infraestrutura NAT.
Não existe um patch único para a classe de ataque mais ampla. As organizações devem aplicar as atualizações disponíveis do Windows e Linux e criptografar o tráfego mesmo em redes internas. A pesquisa também recomenda o Protocolo de Internet (IP) Source Guard, quando aplicável.
A pesquisa NatJack, conduzida de forma independente pela Stagg por meio do SODIUM-24, tem como alvo uma suposição incorporada em muitas implementações de NAT: geralmente presume-se que os hosts por trás do mesmo NAT não manipulam o estado de conexão uns dos outros. Um invasor que controla um sistema por trás do mesmo NAT pode, dependendo da implementação, manipular entradas de rastreamento de conexão pertencentes a outro sistema.
A pesquisa descreve quatro caminhos principais. Pode-se redirecionar o tráfego de uma conexão TCP ativa substituindo seu mapeamento NAT. Outro interfere na solicitação de DNS da vítima para que a resposta DNS legítima chegue ao invasor, permitindo que uma resposta forjada seja enviada de volta.
Outras técnicas divulgam portas mapeadas externamente ou preenchem a tabela de conexões NAT com fluxos falsificados até que clientes legítimos não consigam criar novas conexões.
Synack disse Stagg testou as técnicas em dezenas de produtos de infraestrutura de rede do mundo real de vários fornecedores e demonstrou exploração de prova de conceito em um ambiente controlado.
O site NatJack não publica uma matriz completa produto por produto. O Hacker News não encontrou nenhuma evidência pública de que as técnicas do NatJack tenham sido exploradas em estado selvagem desde 7 de agosto de 2026.
Para Linux, o registro CNA do kernel.org diz que um SYN elaborado seguido por um pacote de redefinição com um número de sequência inválido pode forçar prematuramente uma entrada ativa do Netfilter NAT a um estado fechado porque a lógica conntrack falhou ao validar sua direção. As versões estáveis fixas incluem 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 e 7.1.
Stagg diz que a mudança no kernel corrige a falha do código, mas apenas mitiga a técnica mais ampla de falsificação downstream, aumentando a complexidade do ataque em vez de resolvê-la completamente.
O registro CNA da Microsoft descreve o problema do Windows como um erro de validação de origem que permite a falsificação de uma rede adjacente. As versões afetadas incluem Windows 11 24H2 antes de 26100.8875, 25H2 antes de 26200.8875, 26H1 antes de 28000.2525 e Windows Server 2025 antes de 26100.33158.
O NatJack também se baseia em pesquisas anteriores sobre a manipulação do estado NAT. Um estudo NDSS 2024 demonstrou o sequestro de TCP por meio da manipulação de mapeamento NAT e encontrou 52 dos 67 roteadores testados suscetíveis ao ataque, trabalho que produziu dez CVEs.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #novos #ataques #natjack #sequestram #sessões #tcp #e #falsificam #dns #manipulando #tabelas #nat
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário