Nouvelle faille de détournement TCP dans les systèmes de traduction réseau
Une nouvelle catégorie d’attaque, appelée NatJack, permet de détourner des sessions TCP actives, d’usurper les réponses DNS, d’exposer les ports mappés et même d’épuiser les tables NAT en manipulant l’état de la traduction d’adresse réseau. Présentée lors de Black Hat USA 2026 par le chercheur en sécurité Malcolm Stagg, cette découverte révèle que plusieurs implémentations NAT développées indépendamment – dont celle de Windows – sont vulnérables à cette technique, remettant en cause la fiabilité des systèmes de traduction réseau largement considérés comme sûrs.
Fonctionnement de l’attaque
NatJack exploite la manière dont le NAT maintient l’état des connexions pour réécrire ou intercepter le trafic. En injectant des paquets spécialement conçus qui modifient les entrées des tables NAT, un attaquant peut prendre le contrôle de sessions TCP établies sans avoir à briser le chiffrement ou à deviner des mots de passe. La technique permet également d’usurper le DNS en redirigeant les requêtes de résolution de noms via des mappages NAT manipulés, et elle peut exposer des ports internes normalement cachés derrière la couche de traduction.
Portée et impact
Comme NatJack affecte le comportement du NAT dans différentes implémentations, la vulnérabilité ne se limite pas à un seul éditeur. Les systèmes sous Windows ont été confirmés comme impactés, mais les chercheurs estiment que d’autres systèmes d’exploitation et appareils réseau pourraient présenter des faiblesses similaires. L’attaque ne nécessite pas d’accès au réseau local : des acteurs malveillants pourraient potentiellement l’exploiter à distance s’ils parviennent à envoyer des paquets déclenchant la manipulation de l’état NAT.
Pourquoi est-ce important ?
NatJack montre que même les composants réseau fondamentaux comme le NAT ne sont pas à l’abri de vulnérabilités profondes. Pour les organisations, cela signifie que les contrôles de sécurité existants reposant sur le NAT pour l’isolation ou le mappage de ports pourraient ne plus être suffisants. La capacité à détourner des sessions et à usurper le DNS à ce niveau pourrait saper la confiance dans les protocoles réseau essentiels et inciter à repenser la gestion de l’état des connexions dans les infrastructures modernes.
Source : The Hacker News. Synthèse éditoriale assistée par IA — TechnoExpress.