Progress MarkLogic Server: Unzureichende Berechtigungsverwaltung in Management API

Zusammenfassung

Progress MarkLogic Server 11.x vor 11.3.7 und 12.x vor 12.1.0 enthalten eine XQuery-Injection-Schwachstelle in einem veralteten Paketpfad der Management API, die vom CNA als unzureichende Berechtigungsverwaltung (CWE-269) eingestuft wird. Ein entfernter Angreifer mit einem Konto mit Benutzerverwaltungsrechten könnte dauerhaft unautorisierte administrative Kontrolle erlangen. Der Angriff setzt gültige Zugangsdaten mit delegierten Benutzerverwaltungsrechten voraus; der Hersteller meldet keine bekannte Ausnutzung, und der CVSS-Wert von 9.9 spiegelt den Scope-Wechsel und die vollständige Auswirkung wider.

Betroffen

• MarkLogic Server 11.0.0 bis vor 11.3.7
• MarkLogic Server 12.0.0 bis vor 12.1.0
• Standardkonfiguration: nicht betroffen (laut CNA-Eintrag)
• Versionen 10.x und älter: nicht von der Bewertung erfasst (Sekundärquelle, unverifiziert)

Behoben in

• 11.3.7
• 12.1.0
• Veröffentlichungsdatum: unklar (Quellen widersprechen sich; Versionshinweise des Herstellers prüfen)

Umgehung

• Unbekannt. Im Sicherheitshinweis des Herstellers ist keine Massnahme bestätigt, da dieser nicht direkt geöffnet werden konnte.
• Übergangsmassnahmen (nicht vom Hersteller bestätigt): Anzahl der Konten mit Benutzer- und Management-Rollen einschränken, diese Konten überprüfen und den Zugriff auf die Management API auf administrative Netzwerke beschränken.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• VulDB: Zum letzten Aktualisierungszeitpunkt existiert kein Exploit.
• Keine bestätigte Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept gemeldet.
• Laut Sekundärbericht Stand 13. Oktober 2026 nicht im CISA-KEV-Katalog.
• Der Hersteller warnt, dass betroffene Instanzen ohne vorherige Anzeichen einer Ausnutzung normal laufen können.

Unsere Empfehlung

• MarkLogic Server prioritär auf 11.3.7 oder 12.1.0 aktualisieren; 12.0-Installationen müssen auf 12.1.0 wechseln.
• Den gesamten Sicherheitshinweis vom Oktober 2026 einspielen, da verwandte kritische Schwachstellen ebenfalls administrative Zugriffe ermöglichen.
• Konten mit Benutzer- und Management-Rollen überprüfen und reduzieren; starke, eindeutige Zugangsdaten durchsetzen.
• Prüfen, ob MarkLogic-Instanzen aus dem Internet erreichbar sind, und den Zugriff auf die Management API einschränken.
• CISA KEV und Herstellerkanäle auf Berichte zu Ausnutzung oder Proof-of-Concepts überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Progress MarkLogic Critical Security Alert Bulletin (October 2026) community.progress.com
• VulDB entry CVE-2026-85948 vuldb.com
• OpenCVE record CVE-2026-85948 app.opencve.io
• Rapid7 via Vulners CVE-2026-85948 vulners.com
• GBHackers: Critical Progress MarkLogic Server vulnerabilities gbhackers.com
• Dev.to: MarkLogic discloses 31 flaws, five rated critical dev.to
• Dev.to: From query access to root in the MarkLogic privilege escalation chain dev.to
• Miztonlabs: Two critical MarkLogic flaws could give delegated managers persistent admin control miztonlabs.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:33.