Две критические уязвимости MarkLogic позволяют захватить права администратора

Компания Progress Software сообщила о 31 уязвимости в базе данных MarkLogic Server. Все они опубликованы 12 октября, пять получили статус критических. Исправления доступны ещё с 10 сентября — в версиях MarkLogic 11.3.7 и MarkLogic 12.1.0.

Линия 11.3 относится к релизам с длительной поддержкой (LTS), а линия 12, которую Progress называет «инновационной», отдельного патча для ветки 12.0 не получила: исправление вышло сразу в 12.1.0, где вдобавок появились новые функции. Установки августовских заплаток (11.3.6 и 12.0.3) недостаточно — обе эти версии подвержены новым уязвимостям.

Что позволяют критические бреши

Три из пяти критических уязвимостей оценены в 9,9 балла из 10 по шкале CVSS, ещё две — в 9,6. Во всех случаях атакующему уже требуется некоторая привилегия или возможность исполнять код на сервере.

Две бреши связаны с «лесами» (forests) — коллекциями документов, привязанными к базе. CVE-2026-85947 (9,9) позволяет обладателю прав на управление лесами создать постоянную учётную запись администратора и тем самым получить полный контроль над сервером. CVE-2026-85948 (9,9) через инъекцию XQuery в устаревшем пути Management API даёт постоянные административные права. CVE-2026-85955 (9,9) позволяет выполнять серверный код с повышенными правами, CVE-2026-85956 (9,6) — обращаться к «критически важным для безопасности данным» за пределами своей базы, а CVE-2026-9191 (9,6) — компрометировать аутентифицированную сессию.

По данным Progress, ни одна из 31 уязвимости не числится как использованная в атаках; в каталоге известных эксплуатируемых уязвимостей CISA на 13 октября их не было. Обходных решений для тех, кто не может обновиться, компания не предлагает.

Остальные бреши и подводные камни обновления

Из прочих 24 оценены как высокоопасные, две — как среднего уровня. Многие проявляются лишь при использовании конкретных функций: аутентификации SAML, OAuth, Kerberos на паролях, облачного размещения в Azure и на Linux, консоли запросов, а также устаревших компонентов OpsDirector и InfoStudio. Отдельно отмечена CVE-2026-85959, из-за которой успешные входы не всегда попадали в журнал аудита.

Обновление меняет поведение, способное сломать существующий код и автоматизацию: удалены устаревшие API и компоненты, отключена по умолчанию обработка внешних XML-сущностей, соединения с S3 переведены на HTTPS, ужесточены проверки привилегий. Progress настоятельно советует изучить примечания к выпускам и перечень несовместимостей до установки. При этом в документации не сказано, удаляет ли обновление учётную запись администратора, созданную через CVE-2026-85947 до апгрейда.

Это уже вторая партия уязвимостей за 68 дней: 5 августа Progress раскрыла 10 брешей, семь из них критические. В обоих случаях исправления выходили раньше публикации CVE.

Источник: The Hacker News