Monitoring-Software Checkmk: Updates schließen kritische Codeschmuggel-Lecks

Gleich drei Sicherheitslücken schließen die Updates auf die Monitoring-Software Checkmk 2.5.0p19 und 2.4.0p40. Angreifer können unter Umständen durch die Lücken Schadcode einschleusen und ausführen. IT-Verantwortliche sollten die Aktualisierungen daher zügig anwenden.

Checkmk selbst schreibt zu den Schwachstellen, dass Angreifer dadurch eine Checkmk-überwachte Site übernehmen könnten. Einschränkungen bestehen darin, dass bösartige Akteure dazu etwa als legitime Nutzer angemeldet sein müssen, als ein Monitoring-Admin auf einer überwachten Site im Netz oder als Monitoring-Admin auf einem überwachten Host, was üblicherweise Root-Rechten entspricht.

Drei kritische Schwachstellen

Angreifer, die Robotmk-Agent-Daten auf einem überwachten Host anlegen können, können dadurch beliebige Dateien auf der Checkmk-Site anlegen. Dadurch kann beliebiger Code als Site-Nutzer zur Ausführung gelangen. Auf einem Host mit solch einem Agenten müssen Angreifer dazu ein bösartiges Agent-Plug-in oder eine bösartige Spool-Datei anlegen. Ein weiteres Angriffsszenario wäre, dass bösartige Akteure derartige Dateien auf beliebige mit Checkmk überwachte Hosts schieben, wofür üblicherweise Root-Rechte erforderlich sind. Ein Monitoring-Admin muss dann noch das manuelle Hinzufügen der Robotmk-Services bestätigen oder die automatische Service-Discovery muss aktiv sein, damit ein Exploit gelingen kann. Admins sollen bis zur Anwendung des Patches die Option „Monitor undecided services“ in der Regel „Periodic service discovery“ deaktivieren (Werk #22624, CVE-2026-120495, CVSS4 9.4, Risiko „kritisch“).

Der Spezial-Agent für Kubernetes lässt sich aufgrund unzureichender Filterung von Regeln dazu bringen, etwa ein ausführbares Python-Skript an vom Site-User beschreibbaren Orten ins Dateisystem zu schreiben und in diesem Kontext auszuführen. Dazu müssen Angreifer die Rechte haben, Regeln zu bearbeiten, was für normale Monitoring-User zutrifft. Am Ende handelt es sich um eine Rechteausweitung vom angemeldeten User zur Codeausführung als Site-User (Werk #17994, CVE-2026-121374, CVSS4 9.4, Risiko „kritisch“). Außerdem kann eine Remote-Site beliebige Dateien auf eine zentrale Checkmk-Site schreiben, indem sie sorgsam präparierte Host-Labels überträgt. Checkmk prüfte den Zieldateinamen dabei unzureichend, wodurch sich auf der zentralen Site Dateien überschreiben und damit eingeschleuster Code ausführen lässt (Werk #22120, CVE-2026-118965, CVSS4 9.4, Risiko „kritisch“).

Die Lücken betreffen auch Checkmk 2.3.0, das jedoch sein End-of-Life erreicht hat. Admins müssen hier auf eine unterstützte Version migrieren. Die noch nicht offiziell veröffentlichte Beta-Version 3.0.0b1 ist ebenfalls abgesichert.

Im März hatte Checkmk in der Netzwerk-Monitoring-Software eine Cross-Site-Scripting-Lücke geschlossen. Die galt als hochriskant.

(dmk)