Две из 31 недавно раскрытой уязвимости в базе данных MarkLogic Server компании Progress Software могут позволить учетной записи, имеющей лишь некоторые управленческие привилегии, получить административный контроль над сервером, сообщает компания.
Progress опубликовала все 31 уязвимость 12 октября и оценила пять из них как критические. Исправления стали доступны с 10 сентября в версиях MarkLogic 11.3.7 и MarkLogic 12.1.0.
Затронутые версии и версии, которые исправляют каждую из уязвимостей:
MarkLogic 11.x до 11.3.7: обновление до 11.3.7
MarkLogic 12.x до 12.1.0: обновление до 12.1.0
MarkLogic 11.3 является линией долгосрочной поддержки (LTS). Линия 12, которую Progress называет инновационным релизом, не имеет исправленной версии 12.0. Исправление — это 12.1.0, которое также добавляет новые функции.
Установка исправлений для 10 уязвимостей MarkLogic, раскрытых Progress в августе, недостаточна. Эти исправления были выпущены в версиях 11.3.6 и 12.0.3, и обе версии подвержены новым уязвимостям.
Записи CVE Progress и его примечания по обновлению для двух версий не указывают, использовались ли какие-либо из 31 уязвимости в атаках. Ни одна из них не была в каталоге известных эксплуатируемых уязвимостей Агентства кибербезопасности и безопасности инфраструктуры США, когда The Hacker News проверила 13 октября.
Те же записи и примечания не содержат обходных путей для клиентов, которые пока не могут обновиться.
Что позволяют критические уязвимости
Progress оценил три из пяти критических уязвимостей на 9.9 из 10 по шкале CVSS, а две другие — на 9.6. Для каждой из них злоумышленник должен уже иметь привилегию или способ выполнить код на сервере, согласно записям CVE компании.
Две из них связаны с лесами. В MarkLogic лес — это коллекция документов, прикрепленная к базе данных.
CVE
Оценка
Что нужно злоумышленнику
Что это может позволить
CVE-2026-85947
9.9
Привилегии управления лесом
Создать постоянную учетную запись администратора, потенциально предоставляя полный административный контроль над сервером
CVE-2026-85948
9.9
Привилегии управления пользователями
Получить постоянный административный контроль через уязвимость инъекции XQuery в устаревшем пути API управления
CVE-2026-85955
9.9
Доступ к выполнению запросов и привилегия xdmp-eval-in
Запускать код на стороне сервера с повышенными разрешениями
CVE-2026-85956
9.6
Делегированные привилегии администратора базы данных
Создавать резервные копии или восстанавливать леса вне своей базы данных, позволяя доступ или изменения к тому, что Progress называет "данными, критически важными для безопасности"
CVE-2026-9191
9.6
Способность выполнять код через определенные пути оценки REST и XDBC
Выполнять несанкционированные действия или скомпрометировать аутентифицированную сессию
Исправление для CVE-2026-85947 показывает, какие учетные записи подвержены риску. "Административное предоставление с областью леса" больше не достаточно само по себе, чтобы прикрепить лес к базе данных по выбору учетной записи, говорится в примечаниях к обновлению. Они также призывают клиентов пересмотреть делегированные назначения привилегий леса и базы данных перед обновлением и провести аудит ролей, которые имеют xdmp-eval-in.
Внешние исследователи сообщили о четырех из пяти через Bugcrowd. Исследователь с псевдонимом rexnets имеет заслугу в CVE-2026-85947, CVE-2026-85948 и CVE-2026-85956, а другой с псевдонимом WaltWhitehat имеет заслугу в CVE-2026-9191.
Уязвимости, зависящие от конфигурации
Progress оценил 24 из оставшихся уязвимостей высоко и две — средне. Наивысшая, CVE-2026-85954, с оценкой 8.6, может позволить злоумышленнику получить больше привилегий, чем предоставлено, передавая значения определенным функциям XQuery.
Несколько других применимы только в тех случаях, когда используется определенная функция или платформа:
SAML: В развертываниях, использующих аутентификацию SAML, неаутентифицированный удаленный злоумышленник может заставить сервер принять утверждение, которое он должен отклонить (CVE-2026-85962). В 11.x парсер SAML также мог обрабатывать внешние DTD или сущности (CVE-2026-85957).
OAuth: Злоумышленник может использовать токен, который сервер не должен принимать (CVE-2026-85958). Исправление добавляет проверки эмитента и аудитории для Ping Identity и других конфигураций OAuth.
Kerberos на основе паролей: В определенных конфигурациях злоумышленник, находящийся в сети, может выдать себя за службу аутентификации Kerberos (CVE-2026-85972).
Облачный хостинг: Аутентифицированный злоумышленник может получить доступ к внутренним облачным сервисам и получить облачные учетные данные на Azure (CVE-2026-85951) и на развертываниях на базе Linux (CVE-2026-85952).
Диагностические журналы: В определенных конфигурациях сервер может записывать информацию, чувствительную к безопасности, в диагностические журналы (CVE-2026-85949 и, на Azure, CVE-2026-85961). Ключи AWS и токены сессий записывались в открытом виде, когда был включен затронутый путь трассировки IAM, говорится в примечаниях к обновлению.
Amazon S3: Подключения к S3 могут использовать открытый текст по умолчанию (CVE-2026-85975).
Консоль запросов: Удаленный злоумышленник, который заставит пользователя Консоли запросов, вошедшего в систему, открыть вредоносную страницу, может запустить код на стороне сервера с разрешениями этого пользователя (CVE-2026-85960). Аутентифицированный пользователь Консоли запросов может читать произвольные файлы сервера (CVE-2026-85964).
Устаревшие компоненты: OpsDirector, устаревшая функция, может позволить неаутентифицированному удаленному злоумышленнику делать запросы к внутренним сервисам или подделывать доверенные запросы (CVE-2026-85963). Устаревшие модули InfoStudio могут предоставить доступ к файлам сервера (CVE-2026-85953).
Остальные включают три уязвимости безопасности памяти, уязвимость межсайтового скриптинга, разделение HTTP-ответов в Консоли запросов, непоследовательные проверки имен хостов TLS на некоторых исходящих соединениях и открытый текст трафика управления кластерами на 12.x.
Что изменяет обновление
Progress призывает клиентов ознакомиться с примечаниями по обновлению, известными несовместимостями для 11.3.7 и 12.1.0 перед обновлением. Примечания к 11.3.7 перечисляют изменения поведения, связанные с 22 из уязвимостей, а примечания к 12.1.0 — с 21.
Изменения, которые могут сломать существующий код, инструменты или автоматизацию, включают:
mlcp: Более ранние версии MarkLogic Content Pump (mlcp) не работают с новыми релизами и выдают ошибку XDMP-ISOLATED. Progress рекомендует mlcp 11.3.7 или 12.1.0. Более ранние версии могут работать с установленным -restrict_hosts в true, что может снизить производительность.
Удаленные функции: API /manage/v2/packages, InfoStudio и OpsDirector удалены.
Новые значения по умолчанию: Обработка внешних XML-сущностей отключена.