Checkmk: Open Redirect und XSS in der Setup-Seitensuche
Zusammenfassung
Der Parameter reset_url der Setup-Seitensuche in Checkmk wird nicht validiert. Ein Angreifer kann eine präparierte URL erstellen, die Skript im Browser eines angemeldeten Benutzers mit Setup-Berechtigung ausführt oder diesen auf eine externe Website umleitet. Voraussetzung ist, dass das Opfer die präparierte URL öffnet und auf Reset klickt oder eine leere Suche abschickt.
Betroffen
- Checkmk 2.5.0 vor 2.5.0p15
- Checkmk 2.4.0 vor 2.4.0p38
- Checkmk 2.3.0 vor 2.3.0p51
- Checkmk 2.2.0 (EOL, kein korrigierter Build aufgeführt; gemäss CNA-Eintrag betroffen, gemäss CNA Standardkonfiguration nicht betroffen)
Behoben in
- Checkmk 2.5.0p15
- Checkmk 2.4.0p38
- Checkmk 2.3.0p51
- Der Hersteller-Werk führt 2.4.0p39 und 2.3.0p52 als Releases mit der Korrektur auf. Die genauen Versionen vor der Änderungsplanung im Werk prüfen.
- Unbekannt, ob ein korrigierter Build für 2.2.0 existiert. Auf einen unterstützten Zweig aktualisieren.
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden. Die Korrektur beschränkt reset_url auf relative URLs mit gleicher Herkunft.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- VulDB: kein Exploit verfügbar
- Strix: nicht im KEV-Katalog aufgeführt
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies belegt jedoch nicht, dass keiner existiert
Unsere Empfehlung
- Auf 2.5.0p15, 2.4.0p38, 2.3.0p51 oder neuer aktualisieren, im nächsten regulären Wartungsfenster oder früher, falls Checkmk aus dem Internet erreichbar ist oder von vielen Administratoren genutzt wird.
- Jede 2.2.0-Instanz migrieren, da sie nicht direkt gepatcht werden kann.
- Die Anzahl der Konten mit Setup-Berechtigung begrenzen.
- Administratoren anweisen, unerwartete Checkmk-Links aus E-Mails oder Chats nicht zu öffnen.
- Webserver-Zugriffsprotokolle auf reset_url-Werte mit javascript: oder fremden Hosts prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Checkmk Werk #22314 (vendor advisory) checkmk.com
- VulDB CVE-2026-14452 vuldb.com
- CVE record mirror (threatint) cve.threatint.com
- Vulners NVD record vulners.com
- Strix CVE-2026-14452 www.strix.ai
- Cystack Checkmk GmbH vulnerabilities cystack.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:54.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.