CVE-2025-27237

Уязвимость локального повышения привилегий в Zabbix Agent/Agent2 для Windows через перехват файла конфигурации OpenSSL.

Обзор

Zabbix Agent для Windows загружает конфигурацию OpenSSL из жестко заданного пути (C:\vcpkg\...), доступного для записи пользователям с низкими привилегиями. Злоумышленник может разместить вредоносный файл openssl.cnf, который загружает произвольную DLL с привилегиями SYSTEM при перезапуске службы Zabbix Agent.

Затронутые версии

Содержимое репозитория

.
├── CVE-2025-27237-analysis.md   # Detailed technical analysis
├── CVE-2025-27237-PoC.md        # Proof of concept documentation
├── extract_openssl_paths.py     # Binary analysis tool
├── poc.c                        # PoC DLL source (MessageBox)
├── poc2.c                       # PoC DLL variant (file write)
└── poc3.c                       # PoC DLL variant

Использование

Анализ бинарных файлов Zabbix

Извлеките жестко заданные пути OpenSSL из бинарных файлов Zabbix Agent, чтобы определить подверженность уязвимости:

python extract_openssl_paths.py zabbix_agent2.exe

Скрипт использует strings и, опционально, radare2 для поиска:

• OPENSSLDIR — расположение openssl.cnf
• ENGINESDIR — расположение для движков OpenSSL
• MODULESDIR — расположение для модулей OpenSSL

Компиляция PoC DLL (MinGW)

Для 32-битного (i386) Zabbix Agent:

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Для 64-битного (amd64) Zabbix Agent:

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

Загрузка уязвимых агентов

Уязвимые версии Zabbix Agent можно загрузить из официального архива: https://www.zabbix.com/download_agents

Требования для эксплуатации

1. Локальный доступ пользователя к системе Windows
2. Zabbix Agent, настроенный с TLS (TLSConnect=cert или TLSAccept=cert)
3. Возможность создавать каталоги в корне C:\ (стандартные разрешения Windows)
4. Перезапуск службы (или перезагрузка системы)

Обнаружение

Проверьте попытки эксплуатации:

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

Устранение

Обновитесь до исправленных версий:

• 6.0.41+, 7.0.18+, 7.2.12+ или 7.4.2+

Ссылки

• NVD — CVE-2025-27237
• Zabbix Support — ZBX-27061
• GitHub Advisory — GHSA-r6x3-vwpm-5vwg

Авторы

• Первоначальное обнаружение: himbeer (через HackerOne)
• Анализ: независимая проверка, выполненная в январе 2026 года