Checkmk 2.5.0p19 / 2.4.0p40: Drei kritische Codeschmuggel-Lücken
Drei Schwachstellen erlauben Code-Ausführung
Updates für die Monitoring-Software Checkmk 2.5.0p19 und 2.4.0p40 schließen drei kritische Sicherheitslücken (CVSS 9,4). Angreifer können dadurch Schadcode einschleusen und ausführen. Checkmk warnt: Angreifer könnten eine Checkmk-überwachte Site übernehmen.
Angriffsszenarien im Detail
Robotmk-Agent (CVE-2026-120495): Angreifer, die Robotmk-Agent-Daten auf einem überwachten Host anlegen können, können beliebige Dateien auf der Checkmk-Site anlegen und Code als Site-Nutzer ausführen. Workaround: Option „Monitor undecided services“ deaktivieren.
Kubernetes-Spezial-Agent (CVE-2026-121374): Unzureichende Filterung lässt Angreifer Python-Skripte ins Dateisystem schreiben und ausführen – Rechteausweitung vom angemeldeten User zur Codeausführung als Site-User.
Remote-Site zu zentraler Site (CVE-2026-118965): Über Host-Labels lassen sich beliebige Dateien auf die zentrale Checkmk-Site schreiben, da der Zieldateiname unzureichend geprüft wird.
EOL-Version 2.3.0 betroffen – Migration nötig
Auch Checkmk 2.3.0 ist betroffen, hat aber End-of-Life erreicht. Admins müssen auf eine unterstützte Version migrieren. Die noch nicht offiziell veröffentlichte Beta 3.0.0b1 ist ebenfalls betroffen.
Quellen
heise online: Monitoring-Software Checkmk: Updates schließen kritische Codeschmuggel-Lecks (12.11.2026)
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet