Vulnerabilidade no Zabbix Agent permite escalada de privilégios.
Uma vulnerabilidade crítica de segurança foi descoberta no Zabbix Agent e no Agent 2 para Windows que permite que invasores com acesso ao sistema local aumentem seus privilégios por meio de ataques de injeção de DLL.
O Zabbix, uma plataforma de código aberto amplamente adotada para monitoramento de redes e infraestrutura, utiliza seus agentes com privilégios elevados para coletar dados críticos de desempenho. No entanto, em certas versões de seus agentes para Windows (tanto o Agent quanto o Agent2), o arquivo de configuração do OpenSSL é carregado a partir de um caminho que usuários sem permissões administrativas podem modificar. Essa falha de arquitetura é o cerne do ataque de escalonamento de privilégios.
A falha, rastreada como CVE-2025-27237 com uma pontuação CVSS de 7,3 (Alta), afeta várias versões da popular solução de monitoramento de rede e gerou atualizações de segurança imediatas do Zabbix.
A vulnerabilidade decorre do tratamento inadequado de arquivos de configuração OpenSSL em Ambientes Windows, onde o arquivo de configuração é carregado a partir de um caminho que pode ser modificado por usuários com poucos privilégios, permitindo essencialmente que um hacker local assuma o controle total da máquina.
Esta falha de design cria um vetor de ataque para atores maliciosos que podem injetar link dinâmico bibliotecas (DLLs) para obter privilégios de sistema elevados.
Escalonamento de privilégios locais do Windows do agente Zabbix
A falha de segurança reside na forma como o Zabbix Agent e o Agent 2 processam arquivos de configuração OpenSSL em sistemas Windows.
O ataque se materializa quando um invasor, já com acesso à máquina, manipula o arquivo de configuração do OpenSSL localizado no caminho inseguro. Ao adulterar este arquivo, ele consegue injetar uma DLL maliciosa. Na próxima vez que o serviço Zabbix for reiniciado – ou o próprio sistema –, essa DLL será executada automaticamente com as permissões do serviço, ou seja, com privilégios de SYSTEM.
Quando esses agentes inicializam, eles carregam a configuração do OpenSSL a partir de um caminho de arquivo que possui controles de acesso insuficientes, permitindo que usuários com privilégios limitados modifiquem o conteúdo da configuração.
O ataque requer acesso ao sistema local e envolve a modificação do arquivo de configuração OpenSSL para fazer referência a uma DLL maliciosa que é carregada durante o processo de inicialização ou reinicialização do sistema do agente.
A vulnerabilidade afeta uma ampla gama de versões: 6.0.0 a 6.0.40, 7.0.0 a 7.0.17, 7.2.0 a 7.2.11, e 7.4.0 a 7.4.1 do Zabbix Agent e Agent2 para Windows.
O vetor de ataque tem pré-requisitos específicos: os invasores precisam de acesso existente ao sistema Windows com o Zabbix Agent instalado, e a configuração maliciosa só entra em vigor após a reinicialização do serviço Zabbix Agent ou a reinicialização do sistema.
O pesquisador de segurança himbeer descobriu essa vulnerabilidade e a relatou por meio do HackerOne da Zabbix programa de recompensa por bugs.
A técnica de injeção de DLL explora a relação de confiança entre o serviço Zabbix Agent e a biblioteca OpenSSL, permitindo que invasores executem código arbitrário com o privilégios elevados do processo do agente.
| Fatores de risco | Detalhes |
| Produtos afetados | – Agente Zabbix para Windows 6.0.0 – 6.0.40- Agente Zabbix para Windows 7.0.0 – 7.0.17- Agente Zabbix2 para Windows 7.2.0 – 7.2.11- Agente Zabbix2 para Windows 7.4.0 – 7.4.1 |
| Impacto | Escalada de privilégios locais |
| Pré-requisitos de exploração | – Conta de usuário local do Windows – Agente Zabbix ou Agente 2 instalado – Capacidade de modificar o caminho do arquivo de configuração OpenSSL – Serviço do agente ou reinicialização do sistema para carregar DLL maliciosa |
| Pontuação CVSS 3.1 | 7,8 (Alto) |
CVE-2025-27237
A CVE-2025-27237 foi divulgada de forma responsável pelo pesquisador de segurança himbeer. A equipe de Suporte do Zabbix reconheceu a questão (referência interna ZBX-27061) e classificou-a como um defeito de segurança de grande importância, marcando a correção como prioritária.
- 6.0.41
- 7.0.18
- 7.2.12
- 7.4.2
Os administradores de TI e segurança são fortemente aconselhados a aplicar estas atualizações imediatamente. A urgência se deve à popularidade do Zabbix em ambientes corporativos e à implantação de seus agentes com privilégios elevados, o que os torna alvos de alto valor. Após a aplicação do patch, é imprescindível reiniciar o serviço do Zabbix Agent ou Agent2 para que a correção seja concluída. Atualmente, não há workarounds conhecidos além da aplicação da atualização oficial.
Mitigações
A Zabbix lançou patches de segurança em todas as linhas de produtos afetadas para resolver essa vulnerabilidade de escalonamento de privilégios.
As versões fixas incluem 6.0.41, 7.0.18, 7.2.12 e 7.4.2, que implementam controles de acesso adequados para Configuração OpenSSL caminhos de arquivo e validar o conteúdo da configuração antes do processamento.
Os administradores de sistema devem atualizar imediatamente suas instalações do Zabbix Agent para as versões corrigidas correspondentes.
A empresa não forneceu soluções alternativas específicas para esta vulnerabilidade, tornando as atualizações de segurança a principal estratégia de mitigação.
As organizações que usam a infraestrutura de monitoramento do Zabbix devem priorizar essas atualizações, principalmente em ambientes onde vários usuários têm acesso ao sistema local ou onde os agentes de monitoramento são executados com privilégios elevados.
Dada a ampla implantação de soluções de monitoramento Zabbix em ambientes corporativos, essa falha de segurança pode afetar milhares de instalações de monitoramento baseadas no Windows em todo o mundo.
Fonte: Cyber Security Brasil & Cyber Security News
Be the first to comment