Vulnerabilidade no Zabbix Agent permite escalada de privilégios

Uma falha de segurança de alta gravidade foi identificada nos agentes Zabbix para Windows, abrindo a porta para que usuários com pouco privilégio escalem seus acessos ao nível SYSTEM – o mais alto no sistema operacional. A vulnerabilidade, rastreada como CVE-2025-27237, decorre de uma configuração incorreta do OpenSSL nos agentes, permitindo essencialmente que um hacker local assuma o controle total da máquina.

O Zabbix, uma plataforma de código aberto amplamente adotada para monitoramento de redes e infraestrutura, utiliza seus agentes com privilégios elevados para coletar dados críticos de desempenho. No entanto, em certas versões de seus agentes para Windows (tanto o Agent quanto o Agent2), o arquivo de configuração do OpenSSL é carregado a partir de um caminho que usuários sem permissões administrativas podem modificar. Essa falha de arquitetura é o cerne do ataque de escalonamento de privilégios.

A vulnerabilidade afeta uma ampla gama de versões: 6.0.0 a 6.0.40, 7.0.0 a 7.0.17, 7.2.0 a 7.2.11, e 7.4.0 a 7.4.1 do Zabbix Agent e Agent2 para Windows.

O ataque se materializa quando um invasor, já com acesso à máquina, manipula o arquivo de configuração do OpenSSL localizado no caminho inseguro. Ao adulterar este arquivo, ele consegue injetar uma DLL maliciosa. Na próxima vez que o serviço Zabbix for reiniciado – ou o próprio sistema –, essa DLL será executada automaticamente com as permissões do serviço, ou seja, com privilégios de SYSTEM.

O sucesso na exploração significa que o código malicioso ganha controle total sobre a máquina, permitindo ao hacker ignorar restrições de nível de usuário, instalar malware, acessar dados confidenciais e utilizar o computador comprometido como ponto de partida para avançar na rede corporativa. A falha recebeu uma pontuação CVSS 4.0 de 7.3, classificando-a como de alta gravidade, um reflexo do alto impacto em confidencialidade, integridade e disponibilidade:

(CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N).

A CVE-2025-27237 foi divulgada de forma responsável pelo pesquisador de segurança himbeer. A equipe de Suporte do Zabbix reconheceu a questão (referência interna ZBX-27061) e classificou-a como um defeito de segurança de grande importância, marcando a correção como prioritária.

As versões corrigidas que resolvem o comportamento inseguro do caminho do arquivo OpenSSL e impedem a modificação por usuários de baixo privilégio são:

• 6.0.41

• 7.0.18

• 7.2.12

• 7.4.2

Os administradores de TI e segurança são fortemente aconselhados a aplicar estas atualizações imediatamente. A urgência se deve à popularidade do Zabbix em ambientes corporativos e à implantação de seus agentes com privilégios elevados, o que os torna alvos de alto valor. Após a aplicação do patch, é imprescindível reiniciar o serviço do Zabbix Agent ou Agent2 para que a correção seja concluída. Atualmente, não há workarounds conhecidos além da aplicação da atualização oficial.

A vulnerabilidade serve como um lembrete crítico sobre a necessidade de auditar regularmente as configurações de software, especialmente aquelas que envolvem dependências externas como o OpenSSL, e reforça a importância da segregação estrita de privilégios em qualquer ambiente.

Via - TCE