NatJack: Lỗ hổng mới cho phép chiếm quyền điều khiển phiên TCP và giả mạo DNS qua bảng NAT

Tại hội nghị Black Hat USA 2026, nhà nghiên cứu bảo mật Malcolm Stagg đã trình bày về NatJack – một lớp tấn công mới nhắm vào cách thức hoạt động của Network Address Translation (NAT). Kỹ thuật này cho phép kẻ tấn công thao túng trạng thái kết nối NAT để chiếm quyền điều khiển các phiên TCP đang hoạt động, giả mạo phản hồi DNS, làm lộ các cổng (port) đã ánh xạ và gây cạn kiệt bảng NAT.

Cơ chế tấn công

NatJack khai thác một giả định phổ biến trong nhiều hệ thống NAT: các thiết bị nằm cùng một mạng NAT thường được coi là tin cậy và không can thiệp vào trạng thái kết nối của nhau. Tuy nhiên, nếu kẻ tấn công có quyền truy cập đặc quyền vào một hệ thống trong cùng mạng NAT, chúng có thể thao túng các mục nhập theo dõi kết nối (connection-tracking entries) của các thiết bị khác.

Nghiên cứu chỉ ra bốn hướng tấn công chính:

• Chuyển hướng lưu lượng: Thay thế ánh xạ NAT để chuyển hướng dữ liệu từ một kết nối TCP đang hoạt động.
• Giả mạo DNS: Can thiệp vào yêu cầu DNS của nạn nhân để nhận phản hồi hợp lệ, từ đó gửi lại phản hồi giả mạo.
• Lộ thông tin cổng: Tiết lộ các cổng được ánh xạ ra bên ngoài.
• Tấn công từ chối dịch vụ (DoS): Làm đầy bảng kết nối NAT bằng các luồng giả mạo, ngăn cản người dùng hợp lệ thiết lập kết nối mới.

Các lỗ hổng liên quan

Hai lỗ hổng cụ thể đã được định danh với mã CVE:

• CVE-2026-56181 (CVSS 8.3): Ảnh hưởng đến Windows NAT được sử dụng bởi Hyper-V.
• CVE-2026-63913 (CVSS 8.2): Ảnh hưởng đến Netfilter conntrack trên Linux.

Đối với Linux, lỗi nằm ở logic kiểm tra hướng của conntrack, cho phép kẻ tấn công gửi một gói SYN kèm gói reset với số thứ tự không hợp lệ để đóng sớm một mục nhập NAT. Các bản cập nhật nhân Linux đã được phát hành để khắc phục vấn đề này. Trong khi đó, Microsoft đã xử lý lỗi xác thực nguồn trên Windows thông qua các bản cập nhật bảo mật cho Windows 11 và Windows Server 2025.

Khuyến nghị bảo mật

Hiện tại không có bản vá duy nhất cho toàn bộ lớp tấn công NatJack. Các chuyên gia khuyến cáo tổ chức cần:

• Cập nhật các bản vá mới nhất cho Windows và Linux.
• Triển khai mã hóa lưu lượng ngay cả trong mạng nội bộ.
• Sử dụng IP Source Guard nếu hạ tầng mạng hỗ trợ.
• Phân tách các workload không tin cậy khỏi các hệ thống quan trọng chia sẻ chung hạ tầng NAT.

Mặc dù NatJack là một kỹ thuật tấn công phức tạp, việc áp dụng các biện pháp phòng thủ theo chiều sâu sẽ giúp giảm thiểu đáng kể rủi ro bị khai thác.

Nguồn tham khảo: The Hacker News