Progress MarkLogic Server: Unzureichende Berechtigungsverwaltung bei Forest-Operationen
Zusammenfassung
Progress MarkLogic Server 11.x vor 11.3.7 und 12.x vor 12.1.0 enthalten einen Autorisierungsfehler bei bestimmten Forest-Management-Operationen. Ein entfernter Angreifer mit Forest-Management-Berechtigungen kann damit ein dauerhaftes, nicht autorisiertes Administratorkonto erstellen, was zu einer vollständigen administrativen Kontrolle über den Server führen kann. Der Angreifer benötigt ein gültiges Konto mit Forest-Management-Rechten; eine Benutzerinteraktion ist nicht erforderlich.
Betroffen
- MarkLogic Server 11.0.0 bis vor 11.3.7
- MarkLogic Server 12.0.0 bis vor 12.1.0
- Unbekannt, ob die Standardkonfiguration betroffen ist (CNA-Daten geben an, dass sie standardmässig nicht betroffen ist).
Behoben in
- Behoben in 11.3.7
- Behoben in 12.1.0
- Versionen 10.x und älter sind vom Fix nicht abgedeckt und sollten auf eine unterstützte Version aktualisiert werden.
Umgehung
- Forest-Management-Berechtigungen nur vertrauenswürdigen Administratoren zuweisen und solche Rollen für nicht vertrauenswürdige Konten entfernen oder deaktivieren.
- Prüfen, welche Konten und Rollen delegierte Forest- und Datenbankrechte sowie das Privileg xdmp-eval-in besitzen.
- Unbekannt: ob der Hersteller einen provisorischen Hotfix bereitstellt.
Ausnutzung
- CISA KEV: zum Zeitpunkt der Recherche nicht aufgeführt.
- Öffentlicher Proof-of-Concept-Exploit: keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Der Hersteller rät zur Installation der Updates, da betroffene Instanzen ohne Anzeichen einer Ausnutzung normal laufen können.
Unsere Empfehlung
- Alle MarkLogic-Server-Instanzen, deren Versionen und eine allfällige Fernverwaltung identifizieren.
- Auf 11.3.7 oder 12.1.0 patchen oder nicht unterstützte Versionen aktualisieren.
- Forest-Management- und Administratorrollen überprüfen und auf das Nötige beschränken.
- Auf kürzlich erstellte, unerwartete Administratorkonten prüfen.
- Zusammen mit den weiteren MarkLogic-Fixes vom Oktober 2026 gemäss Herstellerbulletin einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MarkLogic Critical Security Alert Bulletin October 2026 community.progress.com
- OpenCVE CVE-2026-85947 app.opencve.io
- VulDB 416980 vuldb.com
- Strix CVE-2026-85947 www.strix.ai
- TheHackerWire CVE-2026-85947 www.thehackerwire.com
- Miztonlabs: Two critical MarkLogic flaws miztonlabs.org
- Cybersecuritynews: Progress MarkLogic flaws cybersecuritynews.com
- GBHackers: Critical Progress MarkLogic Server vulnerabilities gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.