Podatność w Zabbix Agent i Zabbix Agent 2
CSIRT CeZ ostrzega: w ostatnim czasie ujawniono poważną podatność bezpieczeństwa, która dotyczy Zabbix Agent i Zabbix Agent 2, powszechnie wykorzystywanych w systemach monitorowania infrastruktury IT. Ze względu na niską złożoność wykorzystania tej luki oraz potencjalnie poważne skutki jej nadużycia, istnieje realne ryzyko jej aktywnego wykorzystania. Zalecamy niezwłoczne podjęcie działań, aby ograniczyć ryzyko eskalacji uprawnień i naruszenia bezpieczeństwa systemów.
Charakterystyka podatności
- Oznaczenie: CVE-2025-27237
- Score CVSS: 7,3 High
W systemie Windows, plik konfiguracyjny OpenSSL jest ładowany ze ścieżki zapisywalnej przez użytkowników o niskich uprawnieniach. Pozwala to na złośliwą modyfikację i potencjalną eskalację lokalnych uprawnień poprzez wstrzyknięcie biblioteki DLL.
Podatne systemy
Zabbix Agent i Agent 2 w wersjach:
- 6.0.0 - 6.0.40
- 7.0.0 - 7.0.17
- 7.2.0 - 7.2.11
- 7.4.0 - 7.4.1
Działania zapobiegawcze
Koniecznie zaktualizuj wersję oprogramowania zgodnie z zaleceniem producenta:
- 6.0.0 - 6.0.40 aktualizacja do wersji: 6.0.41
- 7.0.0 - 7.0.17 aktualizacja do wersji: 7.0.18
- 7.2.0 - 7.2.11 aktualizacja do wersji: 7.2.12
- 7.4.0 - 7.4.1 aktualizacja do wersji: 7.4.2
Zalecenia dodatkowe
- Pilnie zweryfikuj wykorzystywanie przedmiotowego oprogramowania. W przypadku potwierdzenia wykorzystywania podatnej wersji, niezwłoczne wdróż poprawki bezpieczeństwa wydane przez producenta.
- Skonfiguruj zasady, które uniemożliwią uruchamianie nieautoryzowanych DLL lub aplikacji w systemie.
- Przeprowadzaj okresowe audyty systemu, aby upewnić się, że nie ma nadmiarowych uprawnień ani luk w konfiguracji.
- Zastosuj zasadę najmniejszego uprzywilejowania w dostępie sieciowym do hostów z Zabbix Agentem. Tylko niezbędne systemy powinny mieć z nimi kontakt.
- Koniecznie wprowadź mechanizmy monitorujące zmiany w plikach konfiguracyjnych (np. poprzez narzędzia typu Tripwire, OSSEC). Może to pomóc w szybkim wykryciu nieautoryzowanych modyfikacji.
- Upewnij się, że katalog, z którego ładowany jest plik konfiguracyjny OpenSSL, nie jest zapisywalny przez użytkowników o niskich uprawnieniach.
Źródła