Stagg führte die NatJack-Forschung nach eigenen Angaben unabhängig über SODIUM-24 durch. Im Zentrum steht eine Annahme, die in vielen NAT-Implementierungen steckt: Systeme hinter demselben NAT würden den Verbindungszustand anderer interner Hosts in der Regel nicht manipulieren. Kontrolliert ein Angreifer jedoch ein System hinter demselben NAT, kann er je nach Implementierung die Connection-Tracking-Einträge eines anderen Systems beeinflussen.
Die Forschung beschreibt vier zentrale Angriffswege. Einer davon leitet Datenverkehr aus einer aktiven TCP-Verbindung um, indem die zugehörige NAT-Zuordnung ersetzt wird. Ein weiterer stört die DNS-Anfrage eines Opfers so, dass die legitime DNS-Antwort beim Angreifer ankommt und dieser anschließend eine gefälschte Antwort an das Opfer zurücksenden kann.
Weitere Techniken legen nach Staggs Beschreibung extern zugeordnete Ports offen oder füllen die NAT-Verbindungstabelle mit gefälschten Datenflüssen, bis legitime Clients keine neuen Verbindungen mehr aufbauen können. Synack erklärte, Stagg habe die Verfahren gegen Dutzende realer Netzwerk-Infrastrukturprodukte mehrerer Hersteller getestet und eine Proof-of-Concept-Ausnutzung in einer kontrollierten Umgebung demonstriert.
Eine vollständige Produkt-für-Produkt-Matrix veröffentlicht die NatJack-Webseite nicht. The Hacker News fand bis zum 7. August 2026 nach eigenen Angaben keine öffentlichen Hinweise darauf, dass NatJack-Techniken bereits außerhalb von Testumgebungen ausgenutzt wurden.
Für Linux beschreibt der CNA-Eintrag auf kernel.org, dass ein präpariertes SYN-Paket gefolgt von einem Reset-Paket mit ungültiger Sequenznummer einen aktiven Netfilter-NAT-Eintrag vorzeitig in einen geschlossenen Zustand zwingen kann. Ursache sei, dass die conntrack-Logik die Richtung nicht korrekt validierte. Als behobene stabile Versionen nennt kernel.org 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.93, 6.18.35, 7.0.12 und 7.1.
Stagg weist zugleich darauf hin, dass diese Kernel-Änderung den Codefehler beseitigt, die breitere Technik zum nachgelagerten Spoofing aber nur abschwächt. Der Angriff werde dadurch komplexer, jedoch nicht vollständig verhindert.
Microsoft beschreibt den Windows-Fehler in seinem CNA-Eintrag als Fehler bei der Herkunftsvalidierung, der Spoofing aus einem benachbarten Netzwerk ermöglicht. Betroffen sind Windows 11 24H2 vor 26100.8875, 25H2 vor 26200.8875, 26H1 vor 28000.2525 sowie Windows Server 2025 vor 26100.33158.
Allgemein gibt es laut Quelltext keinen einzelnen Fix für die umfassendere Angriffsklasse. Organisationen sollen verfügbare Updates für Windows und Linux einspielen, auch Verkehr innerhalb interner Netze verschlüsseln und dort, wo es passt, IP Source Guard einsetzen. Die Hinweise zur Eindämmung betonen außerdem, nicht vertrauenswürdige Workloads von vertrauenswürdigen Systemen zu trennen, wenn sie dieselbe NAT-Infrastruktur nutzen.
NatJack baut zudem auf früherer Forschung zur Manipulation von NAT-Zuständen auf. Eine Studie zur NDSS 2024 demonstrierte bereits TCP-Kaperungen durch die Manipulation von NAT-Zuordnungen und stellte fest, dass 52 von 67 getesteten Routern für diesen Angriff anfällig waren; aus dieser Arbeit gingen zehn CVEs hervor.