CVE-2025-27237

Vulnerabilidade de escalonamento local de privilégios no Zabbix Agent/Agent2 para Windows via sequestro de arquivo de configuração OpenSSL.

Visão Geral

O Zabbix Agent para Windows carrega a configuração do OpenSSL a partir de um caminho fixo (C:\vcpkg\...) que é gravável por usuários com baixos privilégios. Um atacante pode plantar um openssl.cnf malicioso que carrega uma DLL arbitrária com privilégios de SYSTEM quando o serviço do Zabbix Agent reinicia.

Versões Afetadas

Conteúdo do Repositório

.
├── CVE-2025-27237-analysis.md   # Detailed technical analysis
├── CVE-2025-27237-PoC.md        # Proof of concept documentation
├── extract_openssl_paths.py     # Binary analysis tool
├── poc.c                        # PoC DLL source (MessageBox)
├── poc2.c                       # PoC DLL variant (file write)
└── poc3.c                       # PoC DLL variant

Uso

Analisar Binários do Zabbix

Extraia caminhos fixos do OpenSSL dos binários do Zabbix Agent para determinar o status da vulnerabilidade:

python extract_openssl_paths.py zabbix_agent2.exe

O script usa strings e opcionalmente radare2 para encontrar:

• OPENSSLDIR – Localização do openssl.cnf
• ENGINESDIR – Localização para engines do OpenSSL
• MODULESDIR – Localização para módulos do OpenSSL

Compilar DLL PoC (MinGW)

Para Zabbix Agent 32 bits (i386):

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Para Zabbix Agent 64 bits (amd64):

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Baixar Agentes Vulneráveis

Versões vulneráveis do Zabbix Agent podem ser baixadas do arquivo oficial: https://www.zabbix.com/download_agents

Requisitos de Exploração

1. Acesso de usuário local ao sistema Windows
2. Zabbix Agent configurado com TLS (TLSConnect=cert ou TLSAccept=cert)
3. Capacidade de criar diretórios na raiz C:\ (permissões padrão do Windows)
4. Reinicialização do serviço (ou reinicialização do sistema)

Detecção

Verifique tentativas de exploração:

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

Remediação

Atualize para versões corrigidas:

• 6.0.41+, 7.0.18+, 7.2.12+, ou 7.4.2+

Referências

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

Créditos

• Descoberta original: himbeer (via HackerOne)
• Análise: Verificação independente realizada em janeiro de 2026