Vulnerabilità ed exploit

La NAT non basta più come confine di isolamento

Con NatJack cade un’assunzione comoda: condividere un NAT non significa restare separati. Se un attaccante sta sullo stesso NAT boundary, può alterare il bookkeeping delle connessioni e far deviare o interrompere sessioni attive, così il confine di indirizzamento privato smette di essere un confine affidabile.

La disclosure presentata a Black Hat riguarda una classe di attacco cross-vendor, non un singolo bug. I ricercatori hanno notificato 13 vendor e testato 32 prodotti e configurazioni: ogni implementazione verificata risultava vulnerabile ad alcune o tutte le tecniche NatJack, con impatto su Microsoft Windows NAT e sul conntrack del kernel Linux. Gli effetti osservati includono hijack di connessioni, poisoning di risposte DNS e denial of service.

Per chi tratta la NAT condivisa come barriera di contenimento su guest Wi‑Fi, dormitori o reti coworking, il problema è il modello di fiducia, non il singolo prodotto. VLAN e isolamento di porta non bastano, perché l’attacco colpisce l’infrastruttura NAT condivisa a livello di Layer 3 e 4, e cambia il rischio da semplice sniffing a manipolazione di sessioni vive.

2 fonti · 7 ago

CVE-2026-56181

NVD KEV

CVSS 8.3 HIGH: origin validation error in Windows Network Address Translation (NAT) allows an unauthorized attacker to perform… Patch Microsoft: 5099536.

Patch disponibile KB5099536 Scarica →

CVE-2026-63913

NVD KEV

Cronologia

Fonti

Riepilogo fornitore: Microsoft

Part of the PlainSec briefing for 2026-08-08

Every edition of this story: La NAT non basta più come confine di isolamento

Altro da oggi