Две из 31 недавно обнаруженных уязвимостей в базе данных MarkLogic Server от Progress Software могут позволить учетной записи с ограниченными правами управления получить полный административный контроль над сервером, сообщает компания. Progress опубликовала информацию обо всех 31 уязвимости 12 октября, пять из которых были оценены как критические. Исправления доступны с 10 сентября в версиях MarkLogic 11.3.7 и MarkLogic 12.1.0.
Затронутые версии и версии с исправлениями:
MarkLogic 11.3 — это версия с долгосрочной поддержкой (LTS). Версия 12, которую Progress называет инновационной, не имеет исправленной версии 12.0. Исправление для нее — 12.1.0, которая также добавляет новые функции.
Установка исправлений для 10 уязвимостей MarkLogic, раскрытых Progress в августе, недостаточна. Эти исправления были выпущены в версиях 11.3.6 и 12.0.3, и обе эти версии затронуты новыми уязвимостями.
В записях CVE Progress и в примечаниях к обновлениям для двух версий не указано, использовались ли какие-либо из 31 уязвимости в атаках. Ни одна из них не была включена в каталог известных эксплуатируемых уязвимостей Агентства по кибербезопасности и защите инфраструктуры США (CISA) на момент проверки The Hacker News 13 октября.
Те же записи и примечания не содержат информации о временных решениях для клиентов, которые пока не могут обновиться.
Progress оценила три из пяти критических уязвимостей в 9,9 из 10 по шкале CVSS, а две другие — в 9,6. По данным компании, для каждой из них злоумышленнику необходимо уже иметь привилегии или возможность выполнять код на сервере.
Две из них связаны с “лесами” (forests). В MarkLogic “лес” — это коллекция документов, присоединенная к базе данных.
Исправление для CVE-2026-85947 указывает, какие учетные записи затронуты. “Административное разрешение на уровне леса” больше не является достаточным само по себе для присоединения леса к базе данных по выбору учетной записи, говорится в примечаниях к обновлению. В них также рекомендуется клиентам перед обновлением проверить делегированные разрешения на леса и базы данных, а также провести аудит ролей, имеющих доступ к xdmp-eval-in.
Четыре из пяти уязвимостей были обнаружены внешними исследователями через Bugcrowd. Исследователь под псевдонимом rexnets указан как автор CVE-2026-85947, CVE-2026-85948 и CVE-2026-85956, а другой под псевдонимом WaltWhitehat — как автор CVE-2026-9191.
Progress оценила 24 из оставшихся уязвимостей как высокие и две как средние. Наиболее серьезная, CVE-2026-85954, с рейтингом 8,6, может позволить злоумышленнику получить больше привилегий, чем предоставлено, путем передачи значений определенным функциям XQuery.
Некоторые из других уязвимостей применимы только при использовании определенной функции или платформы:
Остальные включают три уязвимости, связанные с безопасностью памяти, уязвимость межсайтового скриптинга (XSS), разделение HTTP-ответов в Query Console, несогласованные проверки TLS-имен хостов при некоторых исходящих соединениях и передачу трафика управления кластером в открытом виде в версии 12.x.
Progress рекомендует клиентам ознакомиться с примечаниями к обновлению, известными несовместимостями для 11.3.7 и для 12.1.0 перед обновлением. Примечания к 11.3.7 содержат информацию об изменениях поведения, связанных с 22 уязвимостями, а примечания к 12.1.0 — с 21.
Изменения, которые могут нарушить работу существующего кода, инструментов или автоматизации, включают:
В отношении исправления для CVE-2026-85954 в примечаниях предупреждают: “В результате вы можете потерять привилегии, к которым имели доступ ранее, поскольку этот доступ был некорректным”.
Некоторые проблемы остаются после обновления. Существующие файлы ErrorLog.txt и AuditLog.txt сохраняют старые разрешения до их ротации или пересоздания. Исправление Kerberos требует keytab, и без него сервер регистрирует предупреждение и пропускает новую проверку.
Другая уязвимость, CVE-2026-85959, приводила к тому, что успешные входы в систему не всегда записывались в журнал аудита. Progress заявляет, что это может ограничить возможности клиента по обнаружению и расследованию несанкционированного доступа или злоупотребления учетными данными.
В записях CVE и примечаниях к обновлению не указано, удаляет ли обновление учетную запись администратора, созданную через CVE-2026-85947 до обновления.
31 уязвимость — это вторая партия, раскрытая Progress для MarkLogic за 68 дней. 5 августа компания опубликовала 10 уязвимостей, семь из которых были оценены как критические. Одна из них, CVE-2026-9192, получила оценку 9,8 и позволяет неаутентифицированному удаленному злоумышленнику обойти проверку пароля в ODBC App Server, согласно ее записи CVE.
Оба раза исправления выходили раньше. Августовские уязвимости были исправлены в версиях от 1 июля и 6 июля, за 35 и 30 дней до появления их записей CVE. На этот раз разрыв составил 32 дня.
Поиск The Hacker News в Национальной базе данных уязвимостей США (NVD) 13 октября выявил 49 записей CVE, упоминающих MarkLogic, 41 из которых относится к этим двум партиям. Остальные восемь, датированные 2017 и 2018 годами, относятся к Antenna House DMC HTMLFilter, стороннему компоненту, используемому MarkLogic 8.0-6. Более ранние версии MarkLogic также содержали исправления безопасности: в примечаниях к выпуску 11.3.1, 11.3.2 и 11.3.4 упоминаются “исправления уязвимостей безопасности” без указания CVE в собственном коде сервера.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
