Uma grave falha de segurança foi descoberta nos agentes Zabbix para Windows, permitindo que usuários com privilégios limitados escalem suas permissões ao nível SYSTEM – o mais alto do sistema operacional. Identificada como CVE-2025-27237, a vulnerabilidade surge de uma configuração incorreta do OpenSSL nos agentes, possibilitando que um invasor local assuma o controle total da máquina.
O Zabbix, plataforma de monitoramento de redes e infraestrutura de código aberto, utiliza agentes com privilégios elevados para coletar dados críticos de desempenho. Em certas versões dos agentes para Windows (Agent e Agent2), o arquivo de configuração do OpenSSL é carregado a partir de um caminho que pode ser modificado por usuários sem permissões administrativas. Essa falha permite que um invasor local injete uma DLL maliciosa, que será executada com privilégios de SYSTEM na próxima reinicialização do serviço ou do próprio sistema.
As versões afetadas incluem: 6.0.0 a 6.0.40, 7.0.0 a 7.0.17, 7.2.0 a 7.2.11 e 7.4.0 a 7.4.1. A exploração bem-sucedida concede controle total sobre a máquina, permitindo instalação de malware, acesso a dados confidenciais e movimentação lateral na rede corporativa. A vulnerabilidade recebeu pontuação CVSS 4.0 de 7.3, classificando-a como de alta gravidade devido ao impacto significativo sobre confidencialidade, integridade e disponibilidade.
Divulgada de forma responsável pelo pesquisador himbeer, a falha foi reconhecida pela equipe do Zabbix (referência interna ZBX-27061), que priorizou sua correção. As versões atualizadas que resolvem a vulnerabilidade são:
-
6.0.41
-
7.0.18
-
7.2.12
-
7.4.2
Administradores de TI e segurança devem aplicar imediatamente essas atualizações e reiniciar o serviço do Zabbix Agent ou Agent2. Atualmente, não existem soluções alternativas conhecidas além da instalação oficial dos patches.
A descoberta reforça a importância de auditar configurações de software regularmente, especialmente aquelas envolvendo dependências externas como o OpenSSL, e destaca a necessidade de uma segregação rigorosa de privilégios em ambientes corporativos.
