Progress MarkLogic Server: Unzureichende Isolation von benutzerdefiniertem Code

Zusammenfassung

Progress MarkLogic Server 11.x vor 11.3.7 und 12.x vor 12.1.0 isolieren benutzerdefinierten Code, der über bestimmte REST- und XDBC-Auswertungspfade ausgeführt wird, nicht ausreichend von HTTP-Anfrage-, HTTP-Antwort- und Sitzungszustand. Ein Angreifer, der über einen betroffenen Pfad Code ausführen kann, könnte nicht autorisierte Aktionen ausführen oder eine authentifizierte Sitzung kompromittieren. Der CVSS-Wert beträgt 9.6 (kritisch), die Voraussetzungen des Herstellers, einschliesslich der Frage, ob ein gültiger Login nötig ist, sind jedoch noch nicht bestätigt.

Betroffen

• MarkLogic Server 11.0.0 bis vor 11.3.7 (CVE-Eintrag)
• MarkLogic Server 12.0.0 bis vor 12.1.0 (CVE-Eintrag)
• Sekundäre Berichte nennen 11.0 bis 11.3.6 und 12.0 bis 12.0.3; mit dem Hersteller-Bulletin prüfen
• Versionen 10.x und älter sind von dieser Korrektur nicht abgedeckt; Betroffenheit unbestätigt

Behoben in

• Upgrade auf 12.1.0 oder 11.3.7 (gemäss Hersteller-Bulletin)
• Versionen 10.x und älter sind nicht gepatcht; Migration erforderlich

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Sekundäre Empfehlung: MarkLogic in segmentierte Netzwerkzonen einordnen und den Zugriff auf vertrauenswürdige Quellen beschränken.
• Eval-/XDBC-Berechtigungen auf Konten beschränken, die sie benötigen, und den Zugriff auf die HTTP-App-Server-Ports einschränken.

Ausnutzung

• Zum Recherchezeitpunkt ist keine Ausnutzung in freier Wildbahn bekannt; CISA KEV: nein.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Gemäss TheHackerWire kein öffentlicher PoC (sekundäre Quelle, nicht verifiziert).

Unsere Empfehlung

• Prüfen, ob MarkLogic im Einsatz ist, einschliesslich Entwicklungs- und Testinstanzen.
• Versionen erfassen und auf 11.3.7 oder 12.1.0 aktualisieren; Migration für 10.x und älter planen.
• Sicherstellen, dass die HTTP- und XDBC-App-Server-Ports nicht aus dem Internet erreichbar sind.
• Eval-/XDBC-Berechtigungen und Administratorkonten überprüfen; Logs auf ungewöhnliche Aktivitäten an Eval-Endpunkten kontrollieren.
• Vor dem Upgrade benutzerdefinierten Code testen, der Request- oder Sitzungsfunktionen über Eval-Endpunkte nutzt, da diese unter der Isolation nun fehlschlagen.
• Das vollständige Oktober-2026-Bulletin einspielen, da es weitere kritische Schwachstellen enthält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Progress MarkLogic Critical Security Alert Bulletin, October 2026 community.progress.com
• Strix CVE-2026-9191 www.strix.ai
• DEV Community: MarkLogic privilege escalation chain (affected version ranges) dev.to
• DEV Community: MarkLogic discloses 31 flaws, five rated critical dev.to
• TheHackerWire: CVE-2026-9191 code isolation bypass www.thehackerwire.com
• TheHackerWire: CVE-2026-9191 vulnerability entry www.thehackerwire.com
• GBHackers: Critical Progress MarkLogic Server vulnerabilities gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:05.