Progress MarkLogic Server: Unzureichende Berechtigungsverwaltung bei Backup und Restore
Zusammenfassung
MarkLogic Server 11.x vor 11.3.7 und 12.x vor 12.1.0 erlauben einem entfernten Angreifer mit delegierten Datenbank-Administratorrechten, Backup- oder Restore-Operationen auf Forests ausserhalb des autorisierten Datenbankbereichs auszuführen. Eine erfolgreiche Ausnutzung kann zu unautorisiertem Zugriff auf oder zur Veränderung von sicherheitskritischen Daten führen. Der Angreifer muss bereits über delegierte Datenbank-Administratorrechte verfügen, es handelt sich also nicht um einen anonymen Angriff aus dem Internet.
Betroffen
- MarkLogic Server 11.0.0 bis vor 11.3.7
- MarkLogic Server 12.0.0 bis vor 12.1.0
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
Behoben in
- MarkLogic Server 11.3.7 (für den 11.x-Zweig)
- MarkLogic Server 12.1.0 (für den 12.x-Zweig)
- MarkLogic Content Pump (mlcp)-Clients auf die zu MarkLogic Server 12.1 oder 11.3.7 passende Version aktualisieren
- Progress Data Cloud: laut Herstellerangaben bereits gepatcht
- Genaue Tabelle der korrigierten Versionen: in der Herstellermeldung zu bestätigen
Umgehung
Unbekannt.
Ausnutzung
- Keine bestätigte Ausnutzung in öffentlichen Meldungen gefunden
- Kein öffentlicher Proof-of-Concept gefunden
- Nicht im Katalog der bekannt ausgenutzten Schwachstellen (KEV) der CISA aufgeführt
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Prüfen, ob MarkLogic Server eingesetzt wird, einschliesslich gehosteter Instanzen, und die Versionen erfassen
- Auf MarkLogic Server 12.1.0 oder 11.3.7 aktualisieren und mlcp-Clients entsprechend anpassen
- Prüfen, wer delegierte Datenbank-Administrator- und Backup-/Restore-Rechte besitzt, und nicht benötigte Rechte entfernen
- Aktivitäten bei Backup und Restore auf unerwartete Forest-Operationen hin überprüfen
- Administratorkonten mit MFA und dem Least-Privilege-Prinzip schützen
- Herstellermeldung für die endgültige Versionstabelle und allfällige Workarounds prüfen
- Der CVSS-Wert von 9.6 stammt von CNA/NVD; eine Drittquelle bewertet tiefer, daher nach Exposition priorisieren und die gesamte Oktober-Serie patchen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MarkLogic Critical Security Alert Bulletin October 2026 community.progress.com
- OpenCVE CVE-2026-85956 app.opencve.io
- Cybersecurity News: Progress MarkLogic flaws cybersecuritynews.com
- Security Online: Critical MarkLogic Server vulnerabilities securityonline.info
- TheHackerWire: CVE-2026-85956 www.thehackerwire.com
- Strix: CVE-2026-85956 www.strix.ai
- VulDB 416992 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.