Checkmkの脆弱性3件 コード実行の恐れ、修正版あり
Checkmkに、サイトユーザー権限でコードを実行される脆弱性が3件公表されました。2.5系と2.4系は2.5.0p19か2.4.0p40へ更新し、修正版が出ない2.3.0は移行が必要です。
同じ発表の脆弱性 3 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-121374 重大 9.4
- CVE-2026-120495 重大 9.4
- CVE-2026-118965 重大 9.4
急ぎ度: 早めに
3件ともCVSS v4が9.4で、修正版は出ていますが、悪用には低めの権限か監視対象側の足場が要り、KEVへの掲載も確認できないためです。
関係があるか
Checkmk 2.5系・2.4系・2.3.0を動かしているすべての組織が対象です。ルール編集を任せている利用者が多い環境、分散監視でリモートサイトを他部署や外部に任せている環境、Robotmkで合成監視をしている環境は、とくに影響を受けやすい構成です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Checkmk 2.5系 | 2.5.0から2.5.0p19より前 | 2.5.0p19 |
| Checkmk 2.4系 | 2.4.0から2.4.0p40より前 | 2.4.0p40 |
| Checkmk 2.3.0（EOL） | 2.3.0 | 修正版なし（サポート終了） |
確かめ方
- 1監視サーバーにサイトユーザーでログインし、
omd versionで稼働中のサイトの版を確認します。 - 2分散監視の構成なら、中央サイトと全リモートサイトの版をそれぞれ確認します。
- 3管理画面で、ルールを編集できるフォルダー権限を持つ利用者を洗い出します。「Normal monitoring user」の役割でも、フォルダーに権限があれば編集できます。
- 4Robotmkによる合成監視を使っているか、リモートサイトに管理外の組織が含まれていないかも確認します。
何が起きたか
Checkmkの監視サーバーで、外部から受け取った値の検証が足りず、サーバー上の任意の場所にファイルを書かれる脆弱性が3件見つかりました。書き込まれたファイルをきっかけに、サイトユーザーの権限でコードを実行されます。3件とも修正版が出ています。
- CVE-2026-121374: Kubernetes用の特別エージェントで、ルール設定の値が実行時の引数として解釈され、任意の場所へのファイル書き込みからコード実行に至る（CVSS v4は9.4）
- CVE-2026-120495: 合成監視のRobotmkテストサービスで、監視対象ホストが返す出力により、生成されるHTMLログの内容と場所を指定され、コード実行に至る（CVSS v4は9.4）
- CVE-2026-118965: 分散監視の中央サイトがホストラベルをリモートサイトから受け取って保存する処理で、保存先のファイル名が検証されず、中央サイトで任意のファイルを書かれてコード実行に至る（CVSS v4は9.4）
どの件も、監視の仕組みの中で信頼している相手や利用者の入力が、そのままファイルの場所や引数に使われる点が共通しています。
攻撃の流れ
-
1
足場を得る
ルール編集権限を持つ利用者、乗っ取ったリモートサイト、細工した出力を返せる監視対象ホストのいずれかを用意します。
-
2
細工した値を渡す
ルールの設定値、リモートサイトの応答、エージェントの出力のどれかに、ファイルの場所や内容を操作する値を仕込みます。
-
3
任意の場所に書き込む
監視サーバーが、サイトユーザーの書き込める範囲の任意の場所にファイルを作ります。
-
4
コードが実行される
書き込まれたファイルを通じて、サイトユーザーの権限で意図しないコードが動きます。
どう悪用されるか
悪用の入口は3件で異なります。いずれも、何も持たない外部の第三者がいきなり攻撃できる形ではなく、監視の仕組みの内側に足場が要ります。
CVE-2026-121374は、ルールを編集できる利用者が必要です。少なくとも1つのフォルダーでルール編集の権限があればよく、既定では、フォルダーに権限を持つ「Normal monitoring user」も含まれます。Kubernetesを監視していないサイトでも、攻撃者がルールを作れるため影響を受けます。CVE-2026-118965は、分散監視でリモートサイトを掌握した攻撃者が中央サイトを狙う形で、信頼できないリモートサイトを含む構成すべてが対象です。CVE-2026-120495は、監視対象ホストのエージェント出力を操作できる攻撃者が、Robotmkのテスト結果として細工した出力を返す形です。
成功すると、サイトユーザーとして任意のコードが動きます。サイトユーザーは監視設定や接続先の情報を扱うため、監視基盤全体の改ざんや、監視対象への足がかりに使われるおそれがあります。
今すぐやること
-
1
修正版へ更新する
2.5系は2.5.0p19、2.4系は2.4.0p40へ更新します。分散監視では中央サイトを優先し、リモートサイトも同じ版にそろえます。告知では、更新後に設定を変える必要はないとされています。
omd version -
2
2.3.0は移行を計画する
2.3.0はサポートが終了しており、修正版は出ません。サポート中の2.4系か2.5系へ移行します。移行までは下の回避策で影響を抑えます。
-
3
侵害の跡を調べる
更新前に、ルールを編集できる利用者の最近の変更履歴、リモートサイトとの同期、Robotmkの結果に不審な点がないかを見ます。サイトユーザーの書き込み先に、覚えのない実行ファイルやスクリプトがないかも確認します。
-
4
権限と接続先を見直す
ルールを編集できる利用者を必要な人に絞り、分散監視のリモートサイトに管理外の拠点が含まれていないかを確認します。ほかの設定の変更は告知で求められていません。
-
5
3.0系の対応はベンダーの告知で確認する
告知では3.0.0b1が未リリースとされています。3.0系を試験導入している場合は、Checkmk公式のWerkで修正の取り込み状況を確かめます。
すぐ更新できないとき
ベンダーの告知に回避策の記載はありません。2.3.0など更新できないサイトでは、つなぎとして、ルール編集権限を持つ利用者を最小限にし、信頼できないリモートサイトを中央サイトから切り離します。Robotmkを使っていない場合は、そのテストサービスを無効にしておくと、CVE-2026-120495の入口を減らせます。これらは被害を減らす手段で、脆弱性そのものは直りません。
背景
Checkmkはサーバーやネットワーク機器、コンテナ基盤を一か所から監視する運用監視ソフトウェアです。監視サーバーは多数のホストやAPIへ接続する立場にあるため、そこで任意のコードが動くと、監視対象への足がかりとして使われやすくなります。
今回の3件は、いずれも「外から受け取った値を、検証せずにファイルの名前や引数に使う」という同じ型の誤りです。入口は、ルール設定、分散監視でのラベル同期、Robotmkの出力と異なります。細かい機能が多い製品ほど、入力の経路が増え、こうした検証漏れが残りやすくなります。特別エージェントのようにサーバー側で動く部品や、複数サイトをつなぐ同期の仕組みは、利用者が意識しにくい場所です。そのため、バージョンの更新で一括して対処するのが現実的です。
よくある質問
Q.更新で設定の見直しや手作業は必要ですか。
まだ分かっていないこと
- 3件について、実際の攻撃で悪用されたかどうかは、ベンダーの告知に記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Checkmk GmbHCheckmk |
2.5.0 以上 2.5.0p19 未満→ 2.5.0p19 2.4.0 以上 2.4.0p40 未満→ 2.4.0p40 |
2.5.0p19 2.4.0p40 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Argument injection in the Kubernetes special agent in Checkmk <2.5.0p19, <2.4.0p40, and 2.3.0 (EOL) allows a user with permission to edit rules in at least one folder to write files to arbitrary locations writable by the site user via crafted node roles in the "Exclude nodes based on their role" rule option, leading to code execution as the site user.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory checkmk.com
- web checkmk.com
- web nvd.nist.gov
- web github.com