CVE-2025-27237

Zabbix Agent/Agent2 for Windows における OpenSSL 設定ファイルのハイジャックによるローカル権限昇格の脆弱性。

概要

Zabbix Agent for Windows は、低権限ユーザーが書き込み可能なハードコードされたパス (C:\vcpkg\...) から OpenSSL 設定を読み込みます。攻撃者は悪意のある openssl.cnf を配置することで、Zabbix Agent サービス再起動時に SYSTEM 権限で任意の DLL をロードさせることができます。

影響を受けるバージョン

リポジトリの内容

.
├── CVE-2025-27237-analysis.md   # 詳細な技術分析
├── CVE-2025-27237-PoC.md        # 概念実証のドキュメント
├── extract_openssl_paths.py     # バイナリ解析ツール
├── poc.c                        # PoC DLL ソース (MessageBox)
├── poc2.c                       # PoC DLL バリアント (ファイル書き込み)
└── poc3.c                       # PoC DLL バリアント

使用方法

Zabbix バイナリの解析

Zabbix Agent バイナリからハードコードされた OpenSSL パスを抽出し、脆弱性の有無を確認します:

python extract_openssl_paths.py zabbix_agent2.exe

このスクリプトは strings とオプションで radare2 を使用して以下を検索します:

• OPENSSLDIR - openssl.cnf の場所
• ENGINESDIR - OpenSSL エンジンの場所
• MODULESDIR - OpenSSL モジュールの場所

PoC DLL のコンパイル (MinGW)

32ビット (i386) Zabbix Agent の場合:

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

64ビット (amd64) Zabbix Agent の場合:

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

脆弱なエージェントのダウンロード

脆弱なバージョンの Zabbix Agent は公式アーカイブからダウンロードできます: https://www.zabbix.com/download_agents

エクスプロイトの要件

1. Windows システムへのローカルユーザーアクセス
2. TLS が設定された Zabbix Agent (TLSConnect=cert または TLSAccept=cert)
3. C:\ ルートにディレクトリを作成できる権限 (デフォルトの Windows 権限)
4. サービスの再起動 (またはシステムの再起動)

検知

エクスプロイトの試行を確認する方法:

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

修復

パッチ適用済みのバージョンにアップグレードしてください:

• 6.0.41+, 7.0.18+, 7.2.12+, または 7.4.2+

参考情報

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

クレジット

• 初の発見: himbeer (HackerOne 経由)
• 分析: 2026年1月に独立検証を実施