CVE-2025-27237

Vulnerabilidad de escalada de privilegios local en Zabbix Agent/Agent2 para Windows mediante el secuestro del archivo de configuración de OpenSSL.

Resumen

El agente de Zabbix para Windows carga la configuración de OpenSSL desde una ruta codificada (C:\vcpkg\...) que es escribible por usuarios con bajos privilegios. Un atacante puede colocar un openssl.cnf malicioso que carga una DLL arbitraria con privilegios SYSTEM cuando el servicio de Zabbix Agent se reinicia.

Versiones afectadas

Contenido del repositorio

.
├── CVE-2025-27237-analysis.md   # Detailed technical analysis
├── CVE-2025-27237-PoC.md        # Proof of concept documentation
├── extract_openssl_paths.py     # Binary analysis tool
├── poc.c                        # PoC DLL source (MessageBox)
├── poc2.c                       # PoC DLL variant (file write)
└── poc3.c                       # PoC DLL variant

Uso

Analizar binarios de Zabbix

Extrae las rutas de OpenSSL codificadas de los binarios de Zabbix Agent para determinar el estado de la vulnerabilidad:

python extract_openssl_paths.py zabbix_agent2.exe

El script utiliza strings y, opcionalmente, radare2 para encontrar:

• OPENSSLDIR - Ubicación de openssl.cnf
• ENGINESDIR - Ubicación de los motores de OpenSSL
• MODULESDIR - Ubicación de los módulos de OpenSSL

Compilar la DLL del PoC (MinGW)

Para Zabbix Agent de 32 bits (i386):

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Para Zabbix Agent de 64 bits (amd64):

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Descargar agentes vulnerables

Las versiones vulnerables de Zabbix Agent se pueden descargar desde el archivo oficial: https://www.zabbix.com/download_agents

Requisitos de explotación

1. Acceso de usuario local al sistema Windows
2. Zabbix Agent configurado con TLS (TLSConnect=cert o TLSAccept=cert)
3. Capacidad de crear directorios en la raíz C:\ (permisos predeterminados de Windows)
4. Reinicio del servicio (o reinicio del sistema)

Detección

Comprueba si hay intentos de explotación:

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

Remediación

Actualiza a las versiones parcheadas:

• 6.0.41+, 7.0.18+, 7.2.12+ o 7.4.2+

Referencias

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

Créditos

• Descubrimiento original: himbeer (a través de HackerOne)
• Análisis: verificación independiente realizada en enero de 2026