关键漏洞信息 CVE ID: CVE-2025-27237 CVSS Score: 7.3 (High) CVSS Vector: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/Vl:H/VA:H/SC:N/Si:N/SA:N Affected Components: Agent, Agent2 Summary: DLL injection in Zabbix Agent and Agent 2 via OpenSSL configuration Description: 在 Windows 上的 Zabbix Agent 和 Agent 2 中，OpenSSL 配置文件从低权限用户可写路径加载，允许恶意修改和潜在的本地特权提升通过注入 DLL。 Known Attack Vectors: 具有安装了 Zabbix Agent 的本地 Windows 用户可以修改 OpenSSL 配置文件，但此文件仅在 Zabbix Agent 或系统重启后加载。 Affected and Fix Versions: - Affected: 6.0.0 - 6.0.40 → Fixed: 6.0.41 - Affected: 7.0.0 - 7.0.17 → Fixed: 7.0.18 - Affected: 7.2.0 - 7.2.11 → Fixed: 7.2.12 - Affected: 7.4.0 - 7.4.1 → Fixed: 7.4.2 Mitigation: 更新受影响的组件到其各自的修复版本。 Acknowledgements: Zabbix 感谢 himbeer 在 HackerOne bug bounty 平台上提交此报告。