Progress MarkLogic Server: Server-Side Request Forgery in Linux-Cloud-Bereitstellungen
Zusammenfassung
Eine Server-Side Request Forgery (SSRF) Schwachstelle im Linux-basierten MarkLogic Server erlaubt es einem authentifizierten Angreifer, den Server Anfragen an interne Cloud-Dienste senden zu lassen. Dadurch können Cloud-Zugangsdaten offengelegt werden, der CVSS-Wert von 8.5 spiegelt eine hohe Vertraulichkeitsauswirkung wider. Der Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich.
Betroffen
- Linux-basierter MarkLogic Server 11.0.0 bis vor 11.3.7
- Linux-basierter MarkLogic Server 12.0.0 bis vor 12.1.0
- Windows- und Azure-spezifische Probleme sind in einer separaten CVE (CVE-2026-85951) erfasst, nicht in dieser
Behoben in
- Upgrade auf MarkLogic Server 11.3.7 oder 12.1.0
- Upgrade der MarkLogic Content Pump (mlcp) Clients auf die zum Serverrelease passende Version
- Downgrades werden nicht unterstützt, daher ist das Upgrade sorgfältig zu planen
Umgehung
- Im geprüften Quellenmaterial wurde kein vom Hersteller dokumentierter Workaround gefunden. Unbekannt, bis der vollständige Bulletin von Progress gelesen wurde.
- Übergangsmassnahme (keine Herstellervorgabe): Ausgehenden Zugriff vom MarkLogic-Host auf Cloud-Metadaten-Endpunkte einschränken.
- Übergangsmassnahme (keine Herstellervorgabe): Einschränken, wer authentifizierten Zugriff auf den Server hat.
Ausnutzung
- Gemäss VulDB ist kein öffentlicher Exploit verfügbar.
- CISA SSVC: Exploitation none, Automatable no, technische Auswirkung partial.
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- EPSS 0.0019 (niedrig, frühe Angabe).
- Der Status im CISA KEV Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Prüfen, ob MarkLogic Server Instanzen auf Linux laufen und welche Version eingesetzt wird.
- Betroffene Instanzen auf 11.3.7 oder 12.1.0 aktualisieren und mlcp Clients entsprechend anpassen.
- Das gesamte Produkt patchen, da das Bulletin vom Oktober 2026 31 Schwachstellen umfasst.
- Ausgehenden Zugriff auf Cloud-Metadaten-Endpunkte auf MarkLogic-Hosts einschränken.
- Bei vermuteter Kompromittierung die vom Host verwendeten Cloud-Zugangsdaten rotieren.
- Das vollständige Progress Bulletin auf Workarounds und Veröffentlichungsdaten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MarkLogic Security Alert Bulletin, October 2026 community.progress.com
- CVE record and CNA data (OpenCVE) app.opencve.io
- VulDB entry vuldb.com
- Rapid7 via Vulners vulners.com
- ACN Italy alert on MarkLogic Server www.acn.gov.it
- GBHackers: Critical Progress MarkLogic Server vulnerabilities gbhackers.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.