MarkLogic zakrpe zatvaraju 31 propust, uključujući pet kritičnih
Progress Software je 12. oktobra objavio informacije o 31 ranjivosti u bazi MarkLogic Server, od kojih je pet označeno kao kritično. Zakrpe su dostupne od 10. septembra u izdanjima MarkLogic 11.3.7 i MarkLogic 12.1.0; pogođene su sve verzije 11.x pre 11.3.7 i 12.x pre 12.1.0.
Dva kritična propusta, CVE-2026-85947 i CVE-2026-85948, oba sa CVSS ocenom 9,9, mogu nalogu sa ograničenim upravljačkim ovlašćenjima omogućiti postojanu administratorsku kontrolu. Prvi se odnosi na privilegije upravljanja forestima, dok drugi koristi XQuery injekciju u zastareloj putanji Management API-ja.
Rizik za delegirane administratorske naloge
U MarkLogicu je forest zbirka dokumenata povezana sa bazom. Ispravka za CVE-2026-85947 sprečava da forest-scoped administrativna dozvola sama po sebi bude dovoljna za povezivanje foresta sa bazom po izboru naloga. Progress preporučuje pregled dodeljenih privilegija za foreste i baze, kao i reviziju uloga koje poseduju privilegiju xdmp-eval-in.
Preostali kritični propusti zahtevaju postojeće ovlašćenje ili mogućnost izvršavanja koda na serveru. CVE-2026-85955 može omogućiti izvršavanje serverskog koda sa višim privilegijama, CVE-2026-85956 pristup operacijama rezervne kopije i vraćanja forestâ izvan sopstvene baze, a CVE-2026-9191 neovlašćene radnje ili kompromitovanje autentifikovane sesije putem pojedinih REST i XDBC putanja.
Konfiguracije koje zahtevaju dodatnu proveru
Među 24 propusta visoke ozbiljnosti nalaze se rizici vezani za SAML, OAuth, Kerberos, Azure, Linux cloud okruženja, Amazon S3 i Query Console. Na primer, zakrpe dodaju provere izdavaoca i publike za Ping Identity i druge OAuth konfiguracije, dok S3 veze ubuduće podrazumevano koriste HTTPS.
U pojedinim konfiguracijama dijagnostički zapisi mogli su da sadrže bezbednosno osetljive podatke. Upgrade beleške navode da su AWS tajni ključevi i tokeni sesije mogli biti zapisani kao običan tekst kada je bila uključena pogođena IAM trace putanja. Postojeće datoteke ErrorLog.txt i AuditLog.txt ipak zadržavaju stare dozvole dok se ne rotiraju ili ponovo ne kreiraju.
Planiranje nadogradnje
Nadogradnja menja ponašanje koje može uticati na postojeći kod, alate i automatizaciju. Starije verzije MarkLogic Content Pump alata mlcp ne rade sa novim izdanjima bez greške XDMP-ISOLATED; preporučene su verzije mlcp 11.3.7 ili 12.1.0. Kao alternativa za starije klijente može se postaviti -restrict_hosts true, uz moguće smanjenje performansi.
Izdanja uklanjaju /manage/v2/packages API, InfoStudio i OpsDirector, uvode dodatne provere za xdmp:eval-in() i menjaju kontrole pri povezivanju, rezervnom kopiranju i vraćanju forestâ. MarkLogic 11.3.7 više ne podržava Amazon Linux 2, a nadogradnja može neuspešno završiti ako klaster već ima određena imena uloga, korisnika ili privilegija koja koristi novi ticket sistem.
Progress ne navodi da li su propusti iskorišćeni u napadima niti da li nadogradnja uklanja administratorski nalog koji je eventualno već napravljen zloupotrebom CVE-2026-85947. Praktičan korak za organizacije je da pre prelaska na 11.3.7 ili 12.1.0 provere zavisnosti, delegirane dozvole i evidenciju naloga, a zatim testiraju promene u kontrolisanom okruženju.