CVE-2025-27237

Vulnérabilité d'élévation de privilèges locaux dans Zabbix Agent/Agent2 pour Windows via le détournement du fichier de configuration OpenSSL.

Aperçu

Zabbix Agent pour Windows charge la configuration OpenSSL depuis un chemin codé en dur (C:\vcpkg\...) accessible en écriture par des utilisateurs à faibles privilèges. Un attaquant peut placer un fichier openssl.cnf malveillant qui charge une DLL arbitraire avec les privilèges SYSTEM lors du redémarrage du service Zabbix Agent.

Versions concernées

Contenu du dépôt

.
├── CVE-2025-27237-analysis.md   # Analyse technique détaillée
├── CVE-2025-27237-PoC.md        # Documentation de la preuve de concept
├── extract_openssl_paths.py     # Outil d'analyse binaire
├── poc.c                        # Source de la DLL PoC (MessageBox)
├── poc2.c                       # Variante de la DLL PoC (écriture fichier)
└── poc3.c                       # Variante de la DLL PoC

Utilisation

Analyser les binaires Zabbix

Extraire les chemins OpenSSL codés en dur depuis les binaires Zabbix Agent pour déterminer la vulnérabilité :

python extract_openssl_paths.py zabbix_agent2.exe

Le script utilise strings et optionnellement radare2 pour trouver :

• OPENSSLDIR - Emplacement de openssl.cnf
• ENGINESDIR - Emplacement pour les moteurs OpenSSL
• MODULESDIR - Emplacement pour les modules OpenSSL

Compiler la DLL PoC (MinGW)

Pour l'agent Zabbix 32 bits (i386) :

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Pour l'agent Zabbix 64 bits (amd64) :

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Télécharger les agents vulnérables

Les versions vulnérables de Zabbix Agent peuvent être téléchargées depuis l'archive officielle : https://www.zabbix.com/download_agents

Conditions d'exploitation

1. Accès utilisateur local au système Windows
2. Zabbix Agent configuré avec TLS (TLSConnect=cert ou TLSAccept=cert)
3. Capacité de créer des répertoires à la racine C:\ (permissions Windows par défaut)
4. Redémarrage du service (ou redémarrage système)

Détection

Vérifier les tentatives d'exploitation :

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

Correction

Mettez à jour vers les versions corrigées :

• 6.0.41+, 7.0.18+, 7.2.12+, ou 7.4.2+

Références

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

Crédits

• Découverte originale : himbeer (via HackerOne)
• Analyse : Vérification indépendante réalisée en janvier 2026