CVE-2025-27237

Vulnerabilità di escalation locale dei privilegi in Zabbix Agent/Agent2 per Windows tramite hijacking del file di configurazione OpenSSL.

Panoramica

Zabbix Agent per Windows carica la configurazione OpenSSL da un percorso hardcoded (C:\vcpkg\...) scrivibile da utenti con pochi privilegi. Un attaccante può inserire un openssl.cnf malevolo che carica una DLL arbitraria con privilegi SYSTEM al riavvio del servizio Zabbix Agent.

Versioni interessate

Contenuto del Repository

.
├── CVE-2025-27237-analysis.md   # Detailed technical analysis
├── CVE-2025-27237-PoC.md        # Proof of concept documentation
├── extract_openssl_paths.py     # Binary analysis tool
├── poc.c                        # PoC DLL source (MessageBox)
├── poc2.c                       # PoC DLL variant (file write)
└── poc3.c                       # PoC DLL variant

Utilizzo

Analisi dei binari Zabbix

Estrai i percorsi OpenSSL hardcoded dai binari di Zabbix Agent per determinare lo stato della vulnerabilità:

python extract_openssl_paths.py zabbix_agent2.exe

Lo script utilizza strings e opzionalmente radare2 per trovare:

• OPENSSLDIR - Posizione di openssl.cnf
• ENGINESDIR - Posizione per gli engine OpenSSL
• MODULESDIR - Posizione per i moduli OpenSSL

Compilazione della DLL PoC (MinGW)

Per Zabbix Agent a 32 bit (i386):

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Per Zabbix Agent a 64 bit (amd64):

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Download degli agent vulnerabili

Le versioni vulnerabili di Zabbix Agent possono essere scaricate dall'archivio ufficiale: https://www.zabbix.com/download_agents

Requisiti per lo sfruttamento

1. Accesso utente locale al sistema Windows
2. Zabbix Agent configurato con TLS (TLSConnect=cert o TLSAccept=cert)
3. Capacità di creare directory in C:\ root (permessi Windows predefiniti)
4. Riavvio del servizio (o riavvio del sistema)

Rilevamento

Verifica tentativi di sfruttamento:

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

Correzione

Esegui l'upgrade alle versioni corrette:

• 6.0.41+, 7.0.18+, 7.2.12+ o 7.4.2+

Riferimenti

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

Crediti

• Scoperta originale: himbeer (tramite HackerOne)
• Analisi: Verifica indipendente eseguita a gennaio 2026