Marc Sureda
El investigador Malcolm Stagg se unió al equipo de seguridad de Synack en el año 2020, tras participar en un programa de la agencia estadounidense DARPA centrado en la búsqueda de fallos de hardware. Durante su trayectoria anterior, Stagg ya había descubierto vulnerabilidades significativas, como un problema de ejecución remota de código en el cliente de Escritorio Remoto de Microsoft y otro fallo de seguridad en una extensión del navegador Google Chrome. Todo este bagaje previo le ha servido para desarrollar una profunda investigación de varios años, que ha culminado recientemente.
Este especialista ha presentado en la conferencia Black Hat USA 2026 los detalles de NatJack, un nuevo tipo de ciberataques que saca provecho de vulnerabilidades en el diseño de la traducción de direcciones de red. Conocida habitualmente por sus siglas en inglés (NAT), y que permite que varios dispositivos de una misma red local compartan una única dirección pública para el acceso a Internet.
El problema detectado no radica en un error de programación clásico, sino en la antigua suposición de que los distintos equipos que comparten una tabla de rutas, pueden confiar plenamente los unos en los otros, una premisa que ha sido válida durante décadas pero que ya no es segura en los entornos actuales. Al tratarse de un fallo conceptual de comportamiento y no de un error de software basado en firmas, las herramientas estándar de escaneo automático tienen serias dificultades para detectar esta amenaza presente en sistemas: Windows, Linux y macOS.
Hasta la fecha, se han registrado oficialmente dos vulnerabilidades comunes vinculadas a este descubrimiento. La primera de ellas afecta al sistema de virtualización Hyper-V de Microsoft, mientras que la segunda impacta en el subsistema de filtrado de red de Linux. Aunque se espera que los distintos fabricantes sigan evaluando sus plataformas y publiquen nuevos avisos de seguridad en el futuro tras comprobar que el código afectado es totalmente independiente entre proveedores.
Los ataques bajo la modalidad NatJack pueden llevarse a cabo mediante cuatro técnicas claramente diferenciadas. Los atacantes tienen la capacidad de secuestrar conexiones activas de transferencia de datos, manipular maliciosamente las respuestas de los servidores de nombres de dominio, identificar los puertos asignados a otras conexiones de la red y forzar la caída de un servicio al agotar por completo la memoria de la tabla NAT del dispositivo afectado.
Mark Kuhr, cofundador y director técnico de Synack afirma: «La investigación de Malcolm sobre NatJack demuestra por qué las pruebas de seguridad eficaces deben cuestionar supuestos de diseño arraigados desde hace tiempo, y no limitarse a buscar fallos de software conocidos. Esa profundidad de la creatividad humana es fundamental para el Synack Red Team. Estamos orgullosos de apoyar la investigación de Malcolm y de ayudar a los defensores a comprender y abordar el riesgo«.
El sector tecnológico se enfrenta a un desafío complejo debido a la ausencia de un parche único que solucione la raíz del problema de forma inmediata. Existen medidas paliativas en los núcleos de sistemas como Linux a partir de su versión 6.6.142 y FreeBSD en su versión 15.0 que dificultan enormemente la explotación del fallo, pero que no logran subsanar el error de diseño fundamental de la arquitectura de red.
Es por este motivo que se recomienda a los responsables de sistemas que prioricen el cifrado de todo su tráfico, incluido el interno, aíslen las cargas de trabajo no fiables separándolas del resto de la infraestructura, y activen protecciones adicionales de origen de direcciones IP, a la espera de que la industria implemente soluciones estructurales a largo plazo.
