Checkmk-Updates schließen drei kritische Codeausführungslücken
Die Updates Checkmk 2.5.0p19 und 2.4.0p40 schließen drei kritische Schwachstellen. Heise berichtet, dass Angreifer darüber unter bestimmten Bedingungen Schadcode einschleusen und ausführen können. Checkmk zufolge kann eine überwachte Site dadurch übernommen werden.
Die Angriffe setzen laut Checkmk jeweils bereits vorhandene Zugriffsrechte voraus. Ein Angreifer muss entweder als legitimer Nutzer angemeldet sein, über Administratorrechte auf einer überwachten Site verfügen oder Administrator auf einem überwachten Host sein. Letzteres entspricht laut Checkmk üblicherweise Root-Rechten.
Die erste Lücke betrifft Robotmk-Agent-Daten. Wer solche Daten auf einem überwachten Host anlegen kann, kann laut Heise beliebige Dateien auf der Checkmk-Site erzeugen und Code als Site-Nutzer ausführen. Dafür muss ein Angreifer auf dem Host ein bösartiges Agent-Plug-in oder eine bösartige Spool-Datei anlegen.
Diese Schwachstelle trägt die Kennung CVE-2026-120495 und einen CVSS-4.0-Wert von 9.4. Laut Checkmk kann ein Exploit außerdem möglich werden, wenn ein Monitoring-Administrator das manuelle Hinzufügen von Robotmk-Services bestätigt oder die automatische Service-Discovery aktiviert ist.
Die zweite Lücke im Kubernetes-Spezialagenten erlaubt laut Heise durch unzureichende Regelprüfung, ein ausführbares Python-Skript an einen vom Site-Nutzer beschreibbaren Ort zu schreiben und dort auszuführen. Dafür benötigt der Angreifer Rechte zum Bearbeiten von Regeln; Checkmk ordnet diese Rechte auch normalen Monitoring-Nutzern zu. Die Lücke CVE-2026-121374 ermöglicht damit eine Rechteausweitung vom angemeldeten Nutzer zur Codeausführung als Site-Nutzer.
Bei CVE-2026-118965 kann laut Checkmk eine Remote-Site beliebige Dateien auf eine zentrale Checkmk-Site schreiben. Präparierte Host-Labels können dort Dateien überschreiben und eingeschleusten Code zur Ausführung bringen. Auch diese Schwachstelle hat laut Heise den CVSS-4.0-Wert 9.4 und die Einstufung kritisch.
Betreiber sollten nach Angaben von Heise auf Checkmk 2.5.0p19 oder 2.4.0p40 aktualisieren. Bis zum Patch soll die Option „Monitor undecided services“ in der Regel „Periodic service discovery“ deaktiviert werden. Checkmk 2.3.0 ist laut dem Unternehmen nicht mehr unterstützt; Betreiber müssen auf eine unterstützte Version migrieren. Die Beta-Version 3.0.0b1 ist laut Checkmk ebenfalls abgesichert.