Progress закрыла 31 уязвимость в MarkLogic Server
Progress Software раскрыла 31 уязвимость в базе данных MarkLogic Server и выпустила исправления в версиях 11.3.7 и 12.1.0. Пять проблем получили критический статус: три оценены в 9,9 балла CVSS, ещё две — в 9,6. Две из них позволяют пользователям с ограниченно делегированными полномочиями закрепить постоянный административный контроль над сервером.
Какие версии необходимо обновить
Затронуты все выпуски ветки MarkLogic 11 до 11.3.7 и ветки 12 до 12.1.0. Версия 11.3 является LTS-веткой, тогда как 12 у Progress относится к инновационным релизам. Исправленного выпуска 12.0 компания не выпускала: для этой линии требуется переход на 12.1.0.
Предыдущий пакет исправлений, опубликованный для 10 уязвимостей в августе, не решает новую проблему. Патчи тогда вошли в версии 11.3.6 и 12.0.3, однако обе эти версии подвержены вновь раскрытым ошибкам.
В CVE-записях и примечаниях к обновлению Progress не сообщает об эксплуатации уязвимостей в атаках. На 13 октября ни одна из 31 ошибок также не находилась в каталоге известных эксплуатируемых уязвимостей CISA. Временных обходных мер для организаций, которые пока не могут обновиться, компания не указала.
Риски делегированных прав и выполнения кода
CVE-2026-85947 с оценкой 9,9 требует прав управления forest — наборами документов, прикреплёнными к базе MarkLogic. Эксплуатация может позволить создать постоянную учётную запись администратора. После исправления одного forest-scoped административного разрешения уже недостаточно, чтобы прикрепить forest к произвольной базе данных.
Ошибка CVE-2026-85948, также оценённая в 9,9, связана с XQuery-инъекцией в устаревшем пути Management API. Пользователь с правами уровня управления пользователями может получить постоянный административный контроль. CVE-2026-85955 допускает выполнение серверного кода с повышенными правами при доступе к исполнению запросов и привилегии xdmp-eval-in.
Две критические ошибки с оценкой 9,6 затрагивают резервное копирование и восстановление forest за пределами собственной базы пользователя, а также отдельные пути вычисления REST и XDBC. В последнем случае возможны несанкционированные действия или компрометация аутентифицированной сессии.
Конфигурационные сценарии и изменения после патча
Среди остальных проблем есть ошибки, зависящие от конфигурации: некорректная проверка SAML-утверждений, принятие неподходящих OAuth-токенов, риск имитации Kerberos-службы и доступ к внутренним облачным сервисам на Azure и Linux-развёртываниях. В диагностические журналы при определённых настройках могли попадать чувствительные данные; для IAM trace упоминаются ключи AWS и токены сессий в открытом виде.
Обновление меняет и часть штатного поведения. Удалены API /manage/v2/packages, InfoStudio и OpsDirector; обработка внешних XML-сущностей теперь отключена по умолчанию, а подключения к Amazon S3 используют HTTPS по умолчанию. Для xdmp:eval-in() потребуются две привилегии: xdmp-eval-in и xdmp-eval.
Progress рекомендует до установки проверить делегированные права для forest и баз данных, роли с xdmp-eval-in, совместимость инструментов и известные несовместимости релизов. Для бизнеса практический порядок действий — определить все серверы MarkLogic, протестировать переход на 11.3.7 или 12.1.0 в отдельном контуре, пересмотреть выдачу привилегий и проверить аудит на нетипичные административные учётные записи и входы.