// HEISE ONLINE — CYBERSECURITY
Monitoring-Software Checkmk: Updates schließen kritische Codeschmuggel-Lecks
Updates für die Monitoring-Software Checkmk schließen kritische Sicherheitslücken. Angreifer können dadurch Schadcode einschleusen.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Gleich drei Sicherheitslücken schließen die Updates auf die Monitoring-Software Checkmk 2.5.0p19 und 2.4.0p40. Angreifer können unter Umständen durch die Lücken Schadcode einschleusen und ausführen. IT-Verantwortliche sollten die Aktualisierungen daher zügig anwenden.
Checkmk selbst schreibt zu den Schwachstellen, dass Angreifer dadurch eine Checkmk-überwachte Site übernehmen könnten. Einschränkungen bestehen darin, dass bösartige Akteure dazu etwa als legitime Nutzer angemeldet sein müssen, als ein Monitoring-Admin auf einer überwachten Site im Netz oder als Monitoring-Admin auf einem überwachten Host, was üblicherweise Root-Rechten entspricht.
Angreifer, die Robotmk-Agent-Daten auf einem überwachten Host anlegen können, können dadurch beliebige Dateien auf der Checkmk-Site anlegen. Dadurch kann beliebiger Code als Site-Nutzer zur Ausführung gelangen. Auf einem Host mit solch einem Agenten müssen Angreifer dazu ein bösartiges Agent-Plug-in oder eine bösartige Spool-Datei anlegen. Ein weiteres Angriffsszenario wäre, dass bösartige Akteure derartige Dateien auf beliebige mit Checkmk überwachte Hosts schieben, wofür üblicherweise Root-Rechte erforderlich sind. Ein Monitoring-Admin muss dann noch das manuelle Hinzufügen der Robotmk-Services bestätigen oder die automatische Service-Discovery muss aktiv sein, damit ein Exploit gelingen kann. Admins sollen bis zur Anwendung des Patches die Option „Monitor undecided services“ in der Regel „Periodic service discovery“ deaktivieren (Werk #22624, CVE-2026-120495, CVSS4 9.4, Risiko „kritisch“).
Der Spezial-Agent für Kubernetes lässt sich aufgrund unzureichender Filterung von Regeln dazu bringen, etwa ein ausführbares Python-Skript an vom Site-User beschreibbaren Orten ins Dateisystem zu schreiben und in diesem Kontext auszuführen. Dazu müssen Angreifer die Rechte haben, Regeln zu bearbeiten, was für normale Monitoring-User zutrifft. Am Ende handelt es sich um eine Rechteausweitung vom angemeldeten User zur Codeausführung als Site-User (Werk #17994, CVE-2026-121374, CVSS4 9.4, Risiko „kritisch“). Außerdem kann eine Remote-Site beliebige Dateien auf eine zentrale Checkmk-Site schreiben, indem sie sorgsam präparierte Host-Labels überträgt. Checkmk prüfte den Zieldateinamen dabei unzureichend, wodurch sich auf der zentralen Site Dateien überschreiben und damit eingeschleuster Code ausführen lässt (Werk #22120, CVE-2026-118965, CVSS4 9.4, Risiko „kritisch“).
Die Lücken betreffen auch Checkmk 2.3.0, das jedoch sein End-of-Life erreicht hat. Admins müssen hier auf eine unterstützte Version migrieren. Die noch nicht offiziell veröffentlichte Beta-Version 3.0.0b1 ist ebenfalls abgesichert.
Im März hatte Checkmk in der Netzwerk-Monitoring-Software eine Cross-Site-Scripting-Lücke geschlossen. Die galt als hochriskant.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.