CVE-2025-27237

ثغرة رفع امتيازات محلية في Zabbix Agent/Agent2 لنظام Windows عبر اختطاف ملف تكوين OpenSSL.

نظرة عامة

يقوم وكيل Zabbix لنظام Windows بتحميل تكوين OpenSSL من مسار مُضمن بشكل ثابت (C:\vcpkg\...) وهو قابل للكتابة من قبل مستخدمين ذوي صلاحيات منخفضة. يمكن للمهاجم زرع ملف openssl.cnf ضار يقوم بتحميل مكتبة DLL عشوائية بامتيازات SYSTEM عند إعادة تشغيل خدمة وكيل Zabbix.

الإصدارات المتأثرة

محتويات المستودع

.
├── CVE-2025-27237-analysis.md   # Detailed technical analysis
├── CVE-2025-27237-PoC.md        # Proof of concept documentation
├── extract_openssl_paths.py     # Binary analysis tool
├── poc.c                        # PoC DLL source (MessageBox)
├── poc2.c                       # PoC DLL variant (file write)
└── poc3.c                       # PoC DLL variant

الاستخدام

تحليل ثنائيات Zabbix

استخراج مسارات OpenSSL المُضمنة من ثنائيات وكيل Zabbix لتحديد حالة الثغرة:

python extract_openssl_paths.py zabbix_agent2.exe

يستخدم السكربت strings واختياريًا radare2 للعثور على:

• OPENSSLDIR - موقع openssl.cnf
• ENGINESDIR - موقع محركات OpenSSL
• MODULESDIR - موقع وحدات OpenSSL

تجميع PoC DLL (MinGW)

لوكيل Zabbix 32-bit (i386):

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

لوكيل Zabbix 64-bit (amd64):

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

تنزيل الوكلاء المتأثرين

يمكن تنزيل الإصدارات المتأثرة من وكيل Zabbix من الأرشيف الرسمي: https://www.zabbix.com/download_agents

متطلبات الاستغلال

1. وصول مستخدم محلي إلى نظام Windows
2. وكيل Zabbix مُهيأ مع TLS (TLSConnect=cert أو TLSAccept=cert)
3. القدرة على إنشاء أدلة في جذر C:\ (صلاحيات Windows الافتراضية)
4. إعادة تشغيل الخدمة (أو إعادة تشغيل النظام)

الكشف

التحقق من محاولات الاستغلال:

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

المعالجة

الترقية إلى الإصدارات المُصحَّحة:

• 6.0.41+, 7.0.18+, 7.2.12+, أو 7.4.2+

المراجع

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

الإسناد

• الاكتشاف الأصلي: himbeer (عبر HackerOne)
• التحليل: تحقق مستقل تم في يناير 2026