Checkmk

In Checkmk vor Version 2.5.0b4 sowie vor 2.4.0p26 besteht eine Livestatus-Injection-Schwachstelle im Testmodus für Benachrichtigungen. Ein authentifizierter Nutzer mit Zugriff auf die Benachrichtigungs-Testseite kann über eine präparierte Service-Beschreibung beliebige Livestatus-Kommandos einschleusen. CVSS-Basiswert: 7.6 (Hoch).

In Checkmk 2.2.0 (EOL), Checkmk 2.3.0 vor 2.3.0p46, Checkmk 2.4.0 vor 2.4.0p25 sowie Checkmk 2.5.0 (Beta) vor 2.5.0b3 kann ein Site-Nutzer laut Quelle Dateien im Site-Kontext manipulieren, die beim Ausführen des von root gestarteten administrativen omd-Befehls verarbeitet werden. Dadurch ist eine lokale Rechteausweitung auf root möglich. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: auf Checkmk 2.3.0p46, 2.4.0p25 bzw. 2.5.0b3 oder neuer aktualisieren.

Eine unzureichende Rechteprüfung an mehreren REST-API-Endpunkten des Quick Setup in Checkmk 2.5.0 (Beta) vor Version 2.5.0b2 und 2.4.0 vor Version 2.4.0p25 erlaubt Benutzern mit geringen Rechten, unautorisierte Aktionen durchzuführen oder an sensible Informationen zu gelangen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 2.5.0b2 bzw. 2.4.0p25.

In Checkmk vor Version 2.4.0p23, vor 2.3.0p45 sowie in Version 2.2.0 wird das Session-Signing-Secret offengelegt. Ein Administrator einer entfernten Site mit aktiviertem Config-Sync kann dadurch Sessions auf der zentralen Site kapern, indem er Session-Cookies fälscht. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.4.0p23 beziehungsweise 2.3.0p45 oder neuer.

Im verteilten Monitoring von Checkmk besteht laut NVD eine Cross-Site-Scripting-Schwachstelle (XSS). Ein kompromittierter Remote-Standort kann dadurch bösartigen HTML-Code in die Service-Ausgaben des zentralen Standorts einschleusen. Betroffen sind Checkmk-Versionen vor 2.4.0p14, 2.3.0p39, 2.2.0 sowie 2.1.0 (End of Life). CVSS-Basiswert: 8.4 (Hoch).

Das Windows-License-Plugin des Checkmk Windows Agent verwendet ein unsicheres temporäres Verzeichnis, wodurch eine lokale Rechteausweitung möglich ist. Betroffen sind Checkmk 2.4.0 vor 2.4.0p13, 2.3.0 vor 2.3.0p38, 2.2.0 vor 2.2.0p46 sowie alle Versionen von 2.1.0 (EOL). CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf die jeweils korrigierten Patch-Stände (2.4.0p13, 2.3.0p38 bzw. 2.2.0p46) aktualisieren; 2.1.0 ist End-of-Life.

In der RestAPI von Checkmk werden im Autocomplete-Endpunkt die Livestatus-Command-Trennzeichen unzureichend neutralisiert. Dadurch kann ein authentifizierter Benutzer beliebige Livestatus-Befehle einschleusen. Betroffen sind Versionen < 2.4.0p6, < 2.3.0p35, < 2.2.0p44 sowie 2.1.0 (End of Life). CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Checkmk 2.4.0p6, 2.3.0p35 bzw. 2.2.0p44 oder neuer.

Eine Argument-Injection in der Special-Agent-Konfiguration von Checkmk (Versionen vor 2.4.0p1, 2.3.0p32 und 2.2.0p42 sowie 2.1.0) erlaubt authentifizierten Angreifern das Schreiben beliebiger Dateien. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine fehlerbereinigte Checkmk-Version aktualisieren.

Eine Rechteausweitung im jar_signature-Agent-Plugin von Checkmk (Versionen vor 2.4.0b7, vor 2.3.0p32, vor 2.2.0p42 sowie 2.1.0p49, EOL) erlaubt es einem Benutzer mit Schreibzugriff auf das Verzeichnis JAVA_HOME/bin, seine Rechte auszuweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine bereinigte Checkmk-Version aktualisieren.

In Checkmk GmbH's Checkmk-Versionen vor 2.3.0p29, vor 2.2.0p41 sowie bis einschliesslich 2.1.0p49 (EOL) werden Authentifizierungsgeheimnisse für Remote-Sites in Logdateien geschrieben, auf die Administratoren Zugriff haben. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

An einem bestimmten Endpunkt der RestAPI von Checkmk vor 2.2.0p39, 2.3.0p25 und 2.1.0p51 (EOL) werden Livestatus-Befehlstrennzeichen unzureichend neutralisiert, wodurch sich beliebige Livestatus-Befehle ausführen lassen. Die Ausnutzung setzt voraus, dass dem Benutzerkonto des Angreifers eine Kontaktgruppe zugewiesen ist und ein Ereignis von einem Host derselben Kontaktgruppe oder von einem unbekannten Host stammt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Checkmk 2.2.0p39 bzw. 2.3.0p25 oder neuer aktualisieren.

In Checkmk-Versionen vor 2.3.0p27, vor 2.2.0p40 sowie 2.1.0p51 (End of Life) werden LDAP-Zugangsdaten in die Apache-Error-Logdatei geschrieben, auf die Administratoren Zugriff haben. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf 2.3.0p27, 2.2.0p40 oder neuer; die Version 2.1.0p51 ist End-of-Life.

Eine Offenlegung von CSRF-Tokens in Query-Parametern bei bestimmten Anfragen in Checkmk-Versionen von Checkmk GmbH vor 2.3.0p18, vor 2.2.0p35 und vor 2.1.0p48 kann zu einem Leak des Tokens führen und gezielte Phishing-Angriffe begünstigen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Checkmk 2.3.0p18, 2.2.0p35, 2.1.0p48 oder neuer aktualisieren.

Eine Umgehung der Zwei-Faktor-Authentifizierung in der REST-API von Checkmk vor Version 2.3.0p16 und vor 2.2.0p34 erlaubt authentifizierten Benutzern, die Zwei-Faktor-Authentifizierung zu umgehen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Checkmk 2.3.0p16 beziehungsweise 2.2.0p34 oder neuer.

Eine fehlerhafte Host-Key-Prüfung im aktiven Check „Check SFTP Service“ sowie im Spezialagenten „VNX quotas and filesystem“ von Checkmk erlaubt Man-in-the-Middle-Angreifern das Abfangen von Datenverkehr. Betroffen sind Versionen vor Checkmk 2.3.0p15, 2.2.0p33 und 2.1.0p48 sowie die End-of-Life-Version 2.0.0. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Update auf Checkmk 2.3.0p15, 2.2.0p33 oder 2.1.0p48.

Im mk_informix-Agent-Plugin von Checkmk vor den Versionen 2.3.0p12, 2.2.0p32, 2.1.0p47 und 2.0.0 (EOL) führen eine Verletzung des Least-Privilege-Prinzips und das Vertrauen auf nicht überprüfte Eingaben dazu, dass lokale Nutzer ihre Rechte ausweiten können. CVSS-Basiswert: 7.8 (Hoch).

Fehlerhafte Berechtigungen auf dem Datenverzeichnis des Checkmk Windows Agent erlauben einem lokalen Angreifer die Erlangung von SYSTEM-Rechten. Betroffen sind Checkmk vor 2.3.0p8, vor 2.2.0p29, vor 2.1.0p45 sowie bis einschliesslich 2.0.0p39 (EOL). CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Version einspielen.

In Checkmk vor den Versionen 2.3.0p8, 2.2.0p29 und 2.1.0p45 sowie bis einschliesslich 2.0.0p39 (End of Life) besteht eine Cross-Site-Request-Forgery-Schwachstelle. Diese kann zu einer Kompromittierung der Instanz mit nur einem Klick führen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In der Funktion check_sftp von Checkmk vor den Versionen 2.3.0p4, 2.2.0p27, 2.1.0p44 sowie in Checkmk 2.0.0 (End-of-Life) werden lokale Upload- und Download-Pfade unzureichend beschränkt. Angreifer mit ausreichenden Berechtigungen zur Konfiguration des Checks können dadurch lokale Dateien auf dem Checkmk-Site-Server lesen und schreiben. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Checkmk 2.3.0p4, 2.2.0p27 oder 2.1.0p44 beziehungsweise Ablösung des End-of-Life-Standes 2.0.0.

In den Checkmk-Agent-Plugins mk_oracle, mk_oracle.ps1 und mk_oracle_crs besteht eine Verletzung des Least-Privilege-Prinzips, die lokalen Benutzern eine Rechteausweitung ermöglicht. Betroffen sind Versionen vor Checkmk 2.3.0b4 (Beta), 2.2.0p24, 2.1.0p41 und 2.0.0 (EOL). CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: auf eine korrigierte Checkmk-Version aktualisieren.

Eine Verletzung des Least-Privilege-Prinzips und das Vertrauen auf nicht vertrauenswürdige Eingaben im mk_informix Checkmk-Agent-Plugin vor Checkmk 2.3.0b4 (beta), 2.2.0p24, 2.1.0p41 und 2.0.0 (EOL) erlauben lokalen Nutzern eine Rechteausweitung. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

Eine Schwachstelle im Windows-Agent-Plugin von Checkmk vor den Versionen 2.2.0p23, 2.1.0p40 und 2.0.0 (EOL) erlaubt einem lokalen Nutzer eine Rechteausweitung. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Checkmk 2.2.0p23 beziehungsweise 2.1.0p40 oder neuer aktualisieren.

In Checkmk vor den Versionen 2.2.0p18, 2.1.0p38 und 2.0.0p39 besteht ein unzureichend abgesicherter Authentifizierungsablauf. Dadurch kann ein Angreifer eigentlich gesperrte Zugangsdaten (locked credentials) weiterhin verwenden. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Checkmk 2.2.0p18, 2.1.0p38 bzw. 2.0.0p39 oder neuer.

Im jar_signature-Agent-Plugin von Checkmk vor den Versionen 2.2.0p18, 2.1.0p38 und 2.0.0p39 erlaubt eine Schwachstelle einem lokalen Benutzer die Ausweitung seiner Rechte. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Checkmk 2.2.0p18, 2.1.0p38, 2.0.0p39 oder neuer aktualisieren.

Eine Rechteausweitung im mk_tsm Agent-Plugin von Checkmk vor 2.2.0p18, 2.1.0p38 und 2.0.0p39 erlaubt einem lokalen Nutzer die Ausweitung seiner Berechtigungen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

In Checkmk 2.2.0p10 bis 2.2.0p16 erlaubt die Verwendung eines benutzergesteuerten LD_LIBRARY_PATH im Agenten einem bösartigen Checkmk-Site-Nutzer, durch Einschleusen manipulierter Bibliotheken seine Rechte auszuweiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine nicht betroffene Checkmk-Version.

In Checkmk in Version 2.0.0p39 und früher, vor 2.1.0p37 sowie vor 2.2.0p15 werden Befehls-Trennzeichen von Livestatus in der Verfügbarkeits-Zeitleiste nicht korrekt neutralisiert. Autorisierte Nutzer können dadurch beliebige Livestatus-Befehle ausführen. CVSS-Basiswert: 7.6 (Hoch).

In der Funktion ajax_search von Checkmk werden Livestatus-Befehlstrenner nicht korrekt neutralisiert. Bereits autorisierte Benutzer können dadurch beliebige Livestatus-Befehle ausführen. Betroffen sind Checkmk-Versionen bis einschliesslich 2.0.0p39, vor 2.1.0p37 sowie vor 2.2.0p15. CVSS-Basiswert: 7.6 (Hoch).

In Checkmk vor den Versionen 2.1.0p32, 2.0.0p38 und 2.2.0p4 werden Argumente aktiver Prüfbefehle unzureichend neutralisiert. Authentifizierte Nutzer können dadurch beliebige Befehle ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf die korrigierten Checkmk-Versionen.

Für Checkmk- und Golang-Produkte wurde eine Sicherheitslücke (CVE-2025-68121) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

In Checkmk besteht laut NVD eine Schwachstelle zur Rechteausweitung. Betroffen sind die Versionen 2.5.0 vor 2.5.0p9, 2.4.0 vor 2.4.0p34, 2.3.0 vor 2.3.0p49 sowie die nicht mehr unterstützte Version 2.2.0 (EOL). Ein lokaler, nicht privilegierter Nutzer kann dadurch beliebige Befehle mit Root-Rechten ausführen; die genaue Vorgehensweise ist der Quelle nicht vollständig zu entnehmen, da die Beschreibung dort abbricht. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Checkmk-Versionen vor 2.5.0p10, vor 2.4.0p35, vor 2.3.0p49 sowie in Version 2.2.0 (End of Life) fehlt eine Autorisierungsprüfung: Ein authentifizierter Nutzer ohne die Berechtigung „Edit foreign Reports“ kann dadurch Reports bearbeiten, die anderen Nutzern gehören. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine Angabe zur Ausnutzungswahrscheinlichkeit (EPSS). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Checkmk (Versionen 2.5.0 vor 2.5.0p9, 2.4.0 vor 2.4.0p34, 2.3.0 vor 2.3.0p49 sowie 2.2.0, EOL) erlaubt eine unzureichende Durchsetzung von Berechtigungen, dass Benutzer ohne entsprechende Rechte BI-Packs einsehen und verändern können. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf die korrigierten Patch-Stände (2.5.0p9, 2.4.0p34 bzw. 2.3.0p49).

In Checkmk vor Version 2.5.0p5 führt eine fehlerhafte Autorisierung im Dashboard-Widget für Benutzernachrichten dazu, dass die Endpunkte zum Abruf von Nachrichten die Nachrichten des Dashboard-Erstellers statt die des Betrachters zurückgeben. Dadurch kann ein Betrachter fremde Nachrichten einsehen; weitere Details sind in der Quellbeschreibung nicht vollständig ausgeführt. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Angriff ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:N/UI:N). Empfohlene Massnahme: Checkmk auf Version 2.5.0p5 oder neuer aktualisieren.

In Checkmk Version 2.5.0 (beta) vor 2.5.0b2 erlaubt Stored Cross-Site Scripting (XSS) authentifizierten Benutzern mit der Berechtigung, ausstehende Änderungen (Pending Changes) zu erstellen, das Einschleusen von schädlichem JavaScript. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Checkmk 2.5.0 (Beta) vor Version 2.5.0b2 besteht ein persistentes Cross-Site-Scripting: Authentifizierte Nutzer mit der Berechtigung, Hosts oder Services anzulegen, können beliebiges JavaScript im Browser anderer Nutzer ausführen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Auf Checkmk 2.5.0b2 oder neuer aktualisieren.

In Checkmk erlaubt laut NVD eine Stored-Cross-Site-Scripting-Schwachstelle im Änderungsprotokoll der globalen Einstellungen einem Administrator mit Berechtigung zum Ändern globaler Einstellungen, schädlichen Inhalt zu hinterlegen. Betroffen sind die Versionen vor 2.5.0p5, vor 2.4.0p31, vor 2.3.0p48 sowie alle 2.2.0-Versionen. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Checkmk 2.5.0p5, 2.4.0p31, 2.3.0p48 oder neuer aktualisieren.

In Checkmk erlaubt ein Stored Cross-Site-Scripting in der Ausgabe des Active Checks der Service Discovery einem Administrator, der aktive oder benutzerdefinierte Checks konfigurieren kann, das Hinterlegen schädlicher Inhalte. Betroffen sind Checkmk <2.5.0p5, <2.4.0p31, <2.3.0p48 sowie alle 2.2.0-Versionen. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine der genannten korrigierten Patch-Stände aktualisieren.

In Checkmk ermöglicht eine unzureichende Neutralisierung HTML-kodierter Zeichen in der URL-Validierungsfunktion einem authentifizierten Benutzer, die URL-Validierung zu umgehen. Betroffen sind laut Quelldaten Versionen vor 2.5.0p5, vor 2.4.0p31, vor 2.3.0p48 sowie alle 2.2.0-Versionen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und mit Nutzerinteraktion möglich (AV:N/AC:L/PR:L/UI:R). Empfohlene Massnahme: Checkmk auf 2.5.0p5, 2.4.0p31 bzw. 2.3.0p48 oder neuer aktualisieren.

In Checkmk erlaubt ein Stored Cross-Site-Scripting im URL-Dashboard-Widget einem Benutzer mit Berechtigung zum Bearbeiten von Dashboards, eine URL mit gefährlichem Inhalt zu hinterlegen. Betroffen sind Checkmk <2.5.0p5, <2.4.0p31, <2.3.0p48 sowie alle 2.2.0-Versionen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf eine der genannten korrigierten Patch-Stände aktualisieren.