Checkmk: Argument-Injection im Kubernetes Special Agent

Zusammenfassung

Checkmk-Versionen 2.5.0 vor 2.5.0p19, 2.4.0 vor 2.4.0p40 und 2.3.0 (EOL) enthalten im Kubernetes Special Agent eine Argument-Injection-Schwachstelle. Ein Benutzer, der Regeln in mindestens einem Ordner bearbeiten darf, kann in der Regeloption Nodes ausschliessen basierend auf ihrer Rolle manipulierte Node-Rollen eingeben, die der Agent als eigene Kommandozeilenoptionen liest, darunter die Debugging-Option --profile. Damit kann der Benutzer Dateien an beliebige, für den Site-Benutzer schreibbare Orte schreiben, was zur Codeausführung als Site-Benutzer führt. Der Angreifer benötigt keine Kubernetes-Überwachung, da die Regel auch ohne diese erstellt werden kann.

Betroffen

• Checkmk 2.5.0 vor 2.5.0p19
• Checkmk 2.4.0 vor 2.4.0p40
• Checkmk 2.3.0 (EOL): im CVE-Eintrag als betroffen aufgeführt, kein Fix verfügbar; der Eintrag vermerkt zudem, dass 2.3.0 in der Standardkonfiguration nicht betroffen ist
• Voraussetzung: ein Benutzer mit Berechtigung zum Bearbeiten von Regeln in mindestens einem Ordner; standardmässig gehören dazu Benutzer mit der Rolle Normal monitoring user, die Ordnerberechtigungen besitzen

Behoben in

• Checkmk 2.5.0p19
• Checkmk 2.4.0p40
• Checkmk 2.3.0: kein Fix verfügbar; der Zweig ist End of Life und sollte auf eine unterstützte, gepatchte Version migriert werden

Umgehung

• Unbekannt. Die Herstellerangaben nennen keine andere Massnahme; das Einspielen der offiziellen Patches behebt die Schwachstelle vollständig.
• Eigene Empfehlung, nicht vom Hersteller: Bis zum Patchen die Berechtigungen zum Bearbeiten von Regeln in Checkmk-Ordnern überprüfen und auf das Nötigste reduzieren.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn in den geprüften Quellen.
• Zum Zeitpunkt der Recherche wurde in den geprüften Quellen kein öffentlicher Proof of Concept oder Exploit-Code gefunden. Die CVE ist sehr neu, daher kann sich dies ändern.

Unsere Empfehlung

• Alle Checkmk-Instanzen und deren Versionen erfassen, einschliesslich allfälliger 2.3.0-Installationen.
• Auf 2.5.0p19 oder 2.4.0p40 aktualisieren; Migration weg von 2.3.0 planen.
• Berechtigungen zum Bearbeiten von Regeln in Checkmk-Ordnern überprüfen und reduzieren.
• Sicherstellen, dass die Checkmk-Weboberfläche nicht aus dem Internet erreichbar ist oder nur über VPN oder MFA erreichbar ist, und dass keine Standard- oder schwachen Zugangsdaten verwendet werden.
• Dieselben Versionen beheben auch CVE-2026-120495; ein Update deckt beide ab.
• Werk und NVD auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Checkmk Werk #17994 (vendor advisory) checkmk.com
• OffSeq: CVE-2026-121374 details radar.offseq.com
• OffSeq: CVE-2026-120495 (same fixed versions) radar.offseq.com
• Checkmk download page checkmk.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:21.