CVE-2025-27237

通过 OpenSSL 配置文件劫持实现 Zabbix Agent/Agent2 for Windows 的本地权限提升漏洞。

概述

Zabbix Agent for Windows 从硬编码路径 (C:\vcpkg\...) 加载 OpenSSL 配置，该路径可被低权限用户写入。攻击者可以放置恶意的 openssl.cnf，在 Zabbix Agent 服务重启时以 SYSTEM 权限加载任意 DLL。

受影响版本

仓库内容

.
├── CVE-2025-27237-analysis.md   # 详细技术分析
├── CVE-2025-27237-PoC.md        # 概念验证文档
├── extract_openssl_paths.py     # 二进制分析工具
├── poc.c                        # PoC DLL 源码 (MessageBox)
├── poc2.c                       # PoC DLL 变种 (文件写入)
└── poc3.c                       # PoC DLL 变种

使用方法

分析 Zabbix 二进制文件

从 Zabbix Agent 二进制文件中提取硬编码的 OpenSSL 路径，以确定漏洞状态：

python extract_openssl_paths.py zabbix_agent2.exe

该脚本使用 strings 和可选的 radare2 来查找：

• OPENSSLDIR - openssl.cnf 的位置
• ENGINESDIR - OpenSSL 引擎的位置
• MODULESDIR - OpenSSL 模块的位置

编译 PoC DLL (MinGW)

对于 32 位 (i386) Zabbix Agent：

i686-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

对于 64 位 (amd64) Zabbix Agent：

x86_64-w64-mingw32-gcc -shared -o poc.dll poc.c -luser32

下载受影响 Agent

可从官方存档下载受影响版本的 Zabbix Agent： https://www.zabbix.com/download_agents

利用条件

1. 本地用户可访问 Windows 系统
2. Zabbix Agent 配置了 TLS (TLSConnect=cert 或 TLSAccept=cert)
3. 能够在 C:\ 根目录创建目录（默认 Windows 权限）
4. 服务重启（或系统重启）

检测

检查是否存在利用尝试：

Test-Path "C:\vcpkg\downloads\tools\msys2\*\etc\ssl\openssl.cnf"

修复方案

升级到已修复版本：

• 6.0.41+, 7.0.18+, 7.2.12+, 或 7.4.2+

参考资料

• NVD - CVE-2025-27237
• Zabbix Support - ZBX-27061
• GitHub Advisory - GHSA-r6x3-vwpm-5vwg

致谢

• 原始发现：himbeer (通过 HackerOne)
• 分析：独立验证，于 2026 年 1 月完成