ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ และพบการเปิดเผยเทคนิคการโจมตีรูปแบบใหม่ที่เรียกว่า NatJack ซึ่งอาศัยการจัดการสถานะการเชื่อมต่อในตาราง Network Address Translation (NAT) เพื่อแทรกแซงการสื่อสารของระบบที่ใช้งาน NAT ร่วมกัน โดยผู้โจมตีอาจสามารถสวมรอยการเชื่อมต่อ TCP (TCP Session Hijacking) ปลอมแปลงการตอบกลับ DNS เปิดเผยข้อมูลพอร์ตที่ถูก Mapping และทำให้ตาราง NAT เต็มจนผู้ใช้งานไม่สามารถสร้างการเชื่อมต่อใหม่ได้ [1]
1. เทคนิคการโจมตี [2]
NatJack เป็นกลุ่มเทคนิคที่ใช้ประโยชน์จากการออกแบบของระบบ NAT ซึ่งโดยทั่วไปเชื่อถืออุปกรณ์หรือระบบที่อยู่ภายในเครือข่ายเดียวกันมากกว่าระบบภายนอก ผู้โจมตีที่สามารถควบคุมระบบหรือมีสิทธิ์ระดับสูงบนเครื่องที่อยู่หลังอุปกรณ์ NAT เดียวกับเป้าหมาย อาจส่งแพ็กเก็ตที่ถูกสร้างขึ้นเป็นพิเศษเพื่อเปลี่ยนแปลงหรือลบ NAT Mapping ของการเชื่อมต่อที่กำลังใช้งานอยู่ แม้ว่าผู้โจมตีและเหยื่อจะอยู่ต่าง Subnet หรือ VLAN กันก็ตาม โดยมีรูปแบบการโจมตีหลัก 4 รูปแบบ ดังนี้
1.1 TCP Session Hijacking
ผู้โจมตีสามารถลบหรือแทนที่ NAT Mapping ของ TCP Session ที่กำลังทำงานอยู่ เพื่อเปลี่ยนเส้นทางทราฟฟิกมายังระบบที่ผู้โจมตีควบคุม หากโจมตีสำเร็จ อาจทำให้ผู้โจมตีปลอมเป็นเครื่องของเหยื่อต่อเซิร์ฟเวอร์ปลายทาง ดักรับทราฟฟิก แทรกข้อมูลอันตราย หรือยุติการเชื่อมต่อของเหยื่อได้ โดยเฉพาะการเชื่อมต่อที่ไม่มีการเข้ารหัส
1.2 UDP DNS Hijacking
ผู้โจมตีอาจแก้ไข NAT Mapping ที่เกี่ยวข้องกับคำขอ DNS ของเหยื่อ ทำให้ DNS Response ที่ถูกต้องถูกส่งไปยังระบบของผู้โจมตีแทน จากนั้นจึงส่ง DNS Response ปลอมกลับไปยังเหยื่อ ซึ่งอาจนำไปสู่การเปลี่ยนเส้นทางผู้ใช้งานไปยังระบบอันตราย การดักรับข้อมูล หรือการทำให้บริการไม่สามารถใช้งานได้
1.3 NAT Port Information Disclosure
จุดอ่อนในการกำหนดพอร์ตและพฤติกรรมของ NAT Mapping อาจทำให้ผู้โจมตีสามารถคาดเดาหรือค้นหาหมายเลข External Port ที่ถูกกำหนดให้กับการเชื่อมต่อของเหยื่อ และในบางกรณีอาจระบุ Internal IP Address ได้ ข้อมูลดังกล่าวสามารถนำไปใช้สนับสนุนการโจมตี TCP Session Hijacking หรือ DNS Hijacking ในขั้นตอนถัดไป
1.4 NAT Table Exhaustion / Denial of Service
ผู้โจมตีสามารถสร้าง TCP หรือ UDP Flow ปลอมจำนวนมากเพื่อทำให้ตาราง NAT เต็ม เมื่อทรัพยากรในตาราง NAT ถูกใช้จนหมด ผู้ใช้งานที่ถูกต้องอาจไม่สามารถสร้างการเชื่อมต่อใหม่ไปยังเครือข่ายหรืออินเทอร์เน็ตได้ ส่งผลให้เกิด Denial of Service (DoS)
2. รายละเอียดช่องโหว่
2.1 CVE-2026-56181 (CVSS v3.1: 8.3)[3] เป็นข้อผิดพลาดด้าน Origin Validation ใน Windows NAT ซึ่งอาจเปิดโอกาสให้ผู้โจมตีจากเครือข่ายที่อยู่ใกล้เคียงทำการ Spoofing และเกี่ยวข้องกับการใช้งาน NAT ของ Hyper-V
2.2 CVE-2026-63913 (CVSS v3.1: 8.2)[4] เกิดจากกระบวนการ TCP Connection Tracking ตรวจสอบทิศทางของแพ็กเก็ต RST ไม่เพียงพอ ผู้โจมตีสามารถใช้แพ็กเก็ต SYN ตามด้วย RST ที่มี Sequence Number ไม่ถูกต้อง เพื่อบังคับให้ NAT Entry ที่กำลังใช้งานเข้าสู่สถานะปิดก่อนเวลาอันควร
3. ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ
3.1 Windows OS (ระบบที่ใช้งาน Hyper-V / Windows NAT)
– Windows 11 24H2 เวอร์ชันก่อนหน้า 26100.8875
– Windows 11 25H2 เวอร์ชันก่อนหน้า 26200.8875
– Windows 11 26H1 เวอร์ชันก่อนหน้า 28000.2525
– Windows Server 2025 เวอร์ชันก่อนหน้า 26100.33158
3.2 Linux Kernel (Netfilter Conntrack)
– Linux Kernel เวอร์ชันที่ต่ำกว่า 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 และ 7.1
4. แนวทางการแก้ไขและป้องกัน
4.1 ติดตั้ง Security Update ล่าสุดสำหรับ Windows และอัปเดต Linux Kernel ไปยังรุ่นที่ได้รับการแก้ไข
4.2 แยกระบบหรืออุปกรณ์ที่ไม่น่าเชื่อถือออกจากระบบสำคัญ โดยไม่ควรให้ใช้งาน NAT Gateway หรือ Firewall เดียวกันหากสามารถดำเนินการได้
4.3 แยก Untrusted User หรืออุปกรณ์ที่อาจถูกบุกรุกออกเป็น Subnet หรือ VLAN ต่างหาก พร้อมกำหนด L3/L4 ACL จำกัดการเชื่อมต่อไปยังระบบสำคัญ
4.4 ใช้ TLS/HTTPS สำหรับการรับส่งข้อมูลทั้งภายนอกและภายในองค์กร เพื่อลดผลกระทบจากการดักรับหรือแก้ไขข้อมูลของ TCP Session
4.5 ใช้ DNSSEC และพิจารณาใช้งาน DNS over HTTPS (DoH) หรือ DNS over TLS (DoT) เพื่อลดความเสี่ยงจาก DNS Response Spoofing
4.6 เปิดใช้งานมาตรการป้องกัน IP Spoofing เช่น IP Source Guard หรือเทคโนโลยีที่มีคุณสมบัติเทียบเท่า
4.7 หลีกเลี่ยงการให้ Trusted และ Untrusted Virtual Machine หรือ Container ใช้ NAT Infrastructure ร่วมกัน โดยเฉพาะระบบ Cloud และระบบ Multi-Tenant
แหล่งอ้างอิง