重要な脆弱性情報 CVE ID: CVE-2025-27233 CVSS スコア: 5.7 (Medium) CVSS ベクトル: CVSS:4.0/AV:A/AC:H/AT:P/PR:H/UI:N/VC:H/Vi:N/VA:N/SC:N/SI:N/SA:N 影響を受けるコンポーネント: Agent2 プラグイン 概要: Zabbix 6.0 以降における、Zabbix Agent 2 の smartctl プラグインの引数インジェクション脆弱性。 説明: Zabbix Agent 2 の smartctl プラグインは パラメータを適切にサニタイズしないため、攻撃者が smartctl コマンドに予期しない引数をインジェクションできる可能性があります。これにより、Windows システムから NTLMv2 ハッシュを漏えいさせることが可能になります。 既知の攻撃ベクトル: 攻撃者は、Agent 2 に対して悪意のある引数を含む メトリックの監視を要求できます。 影響を受けるバージョンおよび修正バージョン: - 影響を受ける: 6.0.0 - 6.0.39 → 修正済み: 6.0.40 - 影響を受ける: 7.0.0 - 7.0.10 → 修正済み: 7.0.11 - 影響を受ける: 7.2.0 - 7.2.4 → 修正済み: 7.2.5 緩和策: 影響を受けるコンポーネントをそれぞれの修正済みバージョンに更新します。 回避策: smartctl を削除するか、 / を使用して厳格なアイテムキーパラメータの検証を行います。 謝辞: Zabbix は、HackerOne バグバounty プラットフォームでこの報告を投稿した kelsier に感謝します。