31 de vulnerabilități în MarkLogic Server — cinci critice, două oferă control de admin conturilor delegate

Progress Software a publicat 31 de vulnerabilități în MarkLogic Server, baza sa de date enterprise NoSQL/XML, și a clasificat cinci dintre ele drept critice. Cele mai grave nu pot fi folosite de un atacator anonim. Ele permit însă unui cont care a primit doar o parte din drepturile de administrare (manager de forest-uri, manager de utilizatori sau administrator delegat de bază de date) să transforme accesul parțial în control complet și persistent de administrator al serverului.

Versiunile corectate sunt MarkLogic 11.3.7 (linia LTS) și MarkLogic 12.1.0. Ambele sunt disponibile din 10 septembrie 2026, cu aproximativ o lună înainte ca înregistrările CVE să devină publice, pe 12 octombrie.

Ce s-a întâmplat

CVE	CVSS	Condiție	Impact
CVE-2026-85947	9.9	Drepturi de gestionare forest-uri	Crearea unui cont de administrator persistent
CVE-2026-85948	9.9	Drepturi de gestionare utilizatori	Admin persistent prin injecție XQuery într-un endpoint învechit al Management API
CVE-2026-85955	9.9	Execuție de interogări + `xdmp-eval-in`	Rulare de cod pe server cu permisiuni ridicate
CVE-2026-85956	9.6	Drepturi de admin delegat de bază de date	Backup/restore pe forest-uri din afara propriei baze de date, inclusiv date critice de securitate
CVE-2026-9191	9.6	Execuție de cod prin anumite căi de evaluare REST/XDBC	Acțiuni neautorizate sau compromiterea sesiunii

Toate problemele critice cer ca atacatorul să aibă deja un privilegiu sau o cale de execuție de cod. Riscul rămâne real: în multe organizații, rolurile delegate ajung la echipe de aplicații, integrări și conturi de serviciu pe care nimeni nu le consideră „admin”.

Celelalte 26 de vulnerabilități (24 ridicate, 2 medii) depind în mare parte de configurație:

SAML: un atacator neautentificat poate face serverul să accepte o aserțiune falsă (CVE-2026-85962). Pe 11.x, parserul SAML poate procesa și entități externe (CVE-2026-85957).
OAuth: pot fi acceptate token-uri cu emitent sau audiență greșită (CVE-2026-85958).
Kerberos (cu parolă): un atacator din rețea poate impersona serviciul de autentificare (CVE-2026-85972).
Cloud: acces autentificat la servicii interne și credențiale cloud pe Azure și pe implementări cloud Linux (CVE-2026-85951, CVE-2026-85952).
Jurnale: secrete scrise în jurnalele de diagnostic, inclusiv chei AWS când era activ un trace IAM (CVE-2026-85949, CVE-2026-85961). Autentificările reușite nu erau întotdeauna auditate (CVE-2026-85959).
Query Console: o pagină malițioasă poate rula cod în numele unui utilizator autentificat (CVE-2026-85960), iar utilizatorii pot citi fișiere arbitrare de pe server (CVE-2026-85964).
Componente vechi: SSRF în OpsDirector (CVE-2026-85963) și acces la fișiere prin InfoStudio (CVE-2026-85953). Ambele componente sunt eliminate în noile versiuni.
Cea mai gravă dintre problemele „ridicate”, CVE-2026-85954 (8.6), permite escaladarea privilegiilor prin valori transmise anumitor funcții XQuery.

De ce contează

Nu se cunoaște încă exploatare activă. Progress nu a raportat atacuri, iar la 13 octombrie 2026 niciuna dintre vulnerabilități nu figura în catalogul KEV al CISA. Actualizați acum, cât încă e așa.
Patch-ul din august nu ajunge. Acesta e al doilea val de vulnerabilități MarkLogic în aproximativ două luni. Versiunile din august (11.3.6 / 12.0.3), care corectau și ocolirea neautentificată a autentificării ODBC CVE-2026-9192 (9.8), sunt și ele afectate de noile probleme.
Linia 12.x nu are patch pentru 12.0. Dacă rulați 12.0.x, trebuie să treceți la 12.1.0, care aduce și schimbări funcționale.
Nu există o soluție temporară publicată pentru cine nu poate actualiza imediat.
Actualizarea s-ar putea să nu anuleze o compromitere deja produsă. Progress nu a precizat dacă un cont de admin creat anterior prin CVE-2026-85947 este eliminat la upgrade.

Ce trebuie făcut

Inventariați toate instanțele MarkLogic Server și versiunile lor. Orice versiune 11.x sub 11.3.7 sau 12.x sub 12.1.0 este afectată.
Înainte de upgrade, revizuiți privilegiile delegate. Verificați cine are drepturi de gestionare forest-uri, utilizatori și de admin delegat, precum și toate rolurile cu xdmp-eval-in. Eliminați tot ce nu e strict necesar.
Căutați persistență. Listați utilizatorii și rolurile cu nivel de admin și comparați-le cu o listă de referință cunoscută. Tratați orice cont de admin neexplicat ca pe un incident. Țineți cont că auditarea autentificărilor nu era fiabilă (CVE-2026-85959).
Citiți întâi notele de incompatibilitate. Corecțiile schimbă comportamentul: xdmp:eval-in() cere acum și xdmp-eval, citirea header-elor Authorization cere un privilegiu nou, /manage/v2/packages, InfoStudio și OpsDirector sunt eliminate, clienții mlcp mai vechi dau eroarea XDMP-ISOLATED (actualizați-i la 11.3.7 / 12.1.0), 11.3.7 nu mai suportă Amazon Linux 2, iar cinci nume noi rezervate de roluri/utilizatori pot bloca upgrade-ul. Testați în staging.
Faceți curățenie după upgrade. Rotiți sau recreați ErrorLog.txt / AuditLog.txt ca să primească noile permisiuni 0640. Configurați un keytab, altfel corecția Kerberos nu rulează. Rotiți orice credențiale AWS sau cloud care ar fi putut ajunge în jurnale.
Până aplicați patch-ul, țineți porturile de management, Query Console și App Server departe de internet, în spatele unui VPN sau al unor allow-list-uri, și dezactivați funcțiile SAML/OAuth/vechi pe care nu le folosiți.

Nu sunteți siguri dacă MarkLogic sau alte baze de date din infrastructură sunt expuse? O evaluare de vulnerabilități 4Tify le analizează din exterior și vă oferă o listă de remedieri ordonată după prioritate.

Raportat inițial de The Hacker News. Rescris și analizat de echipa 4Tify pe baza înregistrărilor CVE și a notelor de upgrade publicate de Progress Software.