MarkLogic Server: 31 luk, pięć krytycznych, poprawki w wersjach 11.3.7 i 12.1.0

Progress Software opublikował 12 października 31 luk w bazie MarkLogic Server i pięć z nich ocenił jako krytyczne. Poprawki są dostępne od 10 września w wersjach 11.3.7 i 12.1.0. Dwie luki pozwalają kontu, które ma tylko część uprawnień zarządczych, przejąć kontrolę administratora nad serwerem. Trzy krytyczne luki mają 9,9 w skali CVSS, a dwie 9,6. Każda wymaga, żeby atakujący miał już uprawnienie albo możliwość uruchomienia kodu na serwerze. Gdy The Hacker News sprawdzał 13 października, żadnej z nich nie było w katalogu KEV agencji CISA.

Kogo dotyczy

Dotyczy użytkowników MarkLogic Server z linii 11.3 (LTS) i z linii 12. Wersje 11.3.6 i 12.0.3, które łatały 10 luk z sierpnia, są podatne na nowe luki. Linia 12 nie ma poprawionego wydania 12.0. Cztery z pięciu krytycznych luk zgłosili zewnętrzni badacze przez Bugcrowd, w tym CVE-2026-85947 i CVE-2026-9191.

Co zrobić

Zaktualizować serwer do wersji 11.3.7 albo 12.1.0, bo obejścia nie ma. Przed aktualizacją Progress zaleca przejrzeć delegowane uprawnienia do lasów (forests) i baz danych oraz sprawdzić role, które mają uprawnienie xdmp-eval-in.