Progress MarkLogic Server: Use-after-free in JavaScript-Engine-Integration

Zusammenfassung

Speicher-Sicherheitsfehler (CWE-416 Use-after-free) in der JavaScript-Engine-Integration von MarkLogic Server können zu Speicherbeschädigung, kontrolliertem Prozessabbruch oder Serverinstabilität führen. Der CNA bewertet den CVSS-3.1-Score mit 8.0 (High), der Angriffsvektor erfordert jedoch hohe Berechtigungen, hohe Komplexität und einen veränderten Scope. Ein Angreifer benötigt in der Regel zuerst Administratorzugriff, daher ist das Risiko geringer als bei nicht authentifizierten Schwachstellen. Der NVD-Eintrag war zum Zeitpunkt der Recherche noch in der Analyse (Awaiting Analysis).

Betroffen

• MarkLogic Server 12.0.0 bis vor 12.1.0
• MarkLogic Server 11.0.0 bis vor 11.3.7
• Standardkonfiguration: nicht betroffen (laut CNA-Eintrag)
• Ältere mlcp-Clients sollten ebenfalls geprüft werden

Behoben in

• MarkLogic Server 12.1.0
• MarkLogic Server 11.3.7
• mlcp auf die Version aktualisieren, die zu 12.1 oder 11.3.7 passt
• Die Korrekturen sind Teil des Progress Critical Security Alert Bulletin, Oktober 2026. Das Veröffentlichungsdatum der Korrekturen ist in Sekundärquellen umstritten und konnte nicht anhand der Progress-Release-Notes verifiziert werden.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenmassnahme ausser dem Update gefunden.

Ausnutzung

• In den Quellen wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS etwa 0.0024 (sehr niedrig).
• Der KEV-Status ist widersprüchlich: Eine Seite nennt ein KEV-Datum vom 8. Oktober 2026 für die CVEs des Bulletins, während OpenCVE diese CVE als nicht in KEV geführt aufführt. Nicht verifiziert.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Asset-Inventar auf MarkLogic Server und mlcp-Clients prüfen.
• Auf 12.1.0 oder 11.3.7 aktualisieren, im gleichen Wartungsfenster wie die übrigen MarkLogic-Korrekturen vom Oktober 2026, und mlcp-Clients gleichzeitig aktualisieren.
• Den CISA-KEV-Katalog direkt prüfen und die Zielversionen im Progress-Bulletin verifizieren.
• Prüfen, ob MarkLogic aus dem Internet erreichbar ist, und administrativen Zugriff einschränken.
• MarkLogic-Server auf Abstürze sowie ungewöhnliches Speicher- oder Prozessverhalten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Progress MarkLogic Critical Security Alert Bulletin, October 2026 community.progress.com
• NVD/CNA record via Vulners vulners.com
• OpenCVE CVE-2026-85965 (KEV status, SSVC) app.opencve.io
• EUVD-2026-97557 via Vulners vulners.com
• Rapid7 listing via Vulners (EPSS) vulners.com
• CVE description and affected ranges (threatint) cve.threatint.com
• Affected version ranges (OffSeq Radar) radar.offseq.com
• Secondary summary of bulletin upgrade guidance cve.imfht.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:27.