31 neue Schwachstellen in Progress MarkLogic Server – fünf davon kritisch

Betroffen sind MarkLogic 11.x vor 11.3.7 sowie MarkLogic 12.x vor 12.1.0. Die 11.3-Reihe ist die Long-Term-Support-Linie; für die von Progress als Innovation Release bezeichnete 12er-Linie gibt es keine gepatchte 12.0-Version, der Fix ist 12.1.0, die zugleich neue Funktionen mitbringt.

Wer bereits die im August veröffentlichten Korrekturen für zehn MarkLogic-Lücken eingespielt hat, ist nicht geschützt: Diese Fixes kamen in 11.3.6 und 12.0.3 – beide Versionen sind von den neuen Schwachstellen betroffen. Weder die CVE-Einträge von Progress noch die Upgrade-Hinweise zu den beiden Releases nennen einen Workaround für Kunden, die nicht sofort aktualisieren können. Ob eine der 31 Lücken bereits für Angriffe genutzt wurde, geht aus den Unterlagen ebenfalls nicht hervor; im Katalog bekannter ausgenutzter Schwachstellen (KEV) der US-Behörde CISA war am 13. Oktober keine von ihnen verzeichnet.

Die kritischen Lücken

Drei der fünf kritischen Schwachstellen bewertet Progress mit CVSS 9.9 von 10, die beiden anderen mit 9.6. Laut den CVE-Einträgen des Unternehmens muss der Angreifer in jedem Fall bereits über ein Privileg oder eine Möglichkeit zur Codeausführung auf dem Server verfügen.

Zwei der kritischen Lücken betreffen sogenannte Forests – in MarkLogic eine Sammlung von Dokumenten, die an eine Datenbank angehängt wird. Die Korrektur für CVE-2026-85947 zeigt, um welche Konten es geht: Eine “forest-scoped administrative grant” genügt laut den Upgrade-Hinweisen für sich genommen nicht mehr, um einen Forest an eine beliebig gewählte Datenbank anzuhängen. Kunden sollen vor dem Upgrade delegierte Forest- und Datenbankprivilegien überprüfen und die Rollen auditieren, die xdmp-eval-in halten.

Vier der fünf kritischen Lücken meldeten externe Forscher über Bugcrowd. Einem Forscher mit dem Pseudonym rexnets werden CVE-2026-85947, CVE-2026-85948 und CVE-2026-85956 zugeschrieben, einem weiteren mit dem Namen WaltWhitehat CVE-2026-9191.

Von der Konfiguration abhängige Lücken

24 der übrigen Schwachstellen stuft Progress als hoch ein, zwei als mittel. Die schwerste darunter, CVE-2026-85954 mit CVSS 8.6, erlaubt es einem Angreifer, über die Übergabe bestimmter Werte an XQuery-Funktionen mehr Rechte zu erlangen als zugewiesen.

Mehrere weitere greifen nur, wenn eine bestimmte Funktion oder Plattform im Einsatz ist:

• SAML: In Deployments mit SAML-Authentifizierung kann ein nicht authentifizierter entfernter Angreifer den Server dazu bringen, eine Assertion zu akzeptieren, die er ablehnen müsste (CVE-2026-85962). Auf 11.x konnte der SAML-Parser zudem externe DTDs oder Entities verarbeiten (CVE-2026-85957).
• OAuth: Ein Angreifer kann ein Token verwenden, das der Server nicht akzeptieren dürfte (CVE-2026-85958). Der Fix ergänzt Prüfungen von Issuer und Audience für Ping Identity und andere OAuth-Konfigurationen.
• Passwortbasiertes Kerberos: In bestimmten Konfigurationen kann ein Angreifer mit Position im Netzwerk den Kerberos-Authentifizierungsdienst imitieren (CVE-2026-85972).
• Cloud-Hosting: Ein authentifizierter Angreifer kann auf interne Cloud-Dienste zugreifen und Cloud-Zugangsdaten erlangen – auf Azure (CVE-2026-85951) und in Linux-basierten Cloud-Deployments (CVE-2026-85952).
• Diagnoseprotokolle: Unter bestimmten Konfigurationen schreibt der Server sicherheitsrelevante Informationen in Diagnoselogs (CVE-2026-85949 und, auf Azure, CVE-2026-85961). Bei aktiviertem betroffenen IAM-Trace-Pfad wurden AWS-Secret-Keys und Session-Tokens im Klartext protokolliert, heißt es in den Upgrade-Hinweisen.
• Amazon S3: Verbindungen zu S3 konnten standardmäßig unverschlüsselt erfolgen (CVE-2026-85975).
• Query Console: Bringt ein entfernter Angreifer einen angemeldeten Query-Console-Nutzer dazu, eine präparierte Seite zu öffnen, kann er serverseitigen Code mit dessen Rechten ausführen (CVE-2026-85960). Ein authentifizierter Query-Console-Nutzer konnte beliebige Serverdateien lesen (CVE-2026-85964).
• Alt-Komponenten: Die veraltete Funktion OpsDirector erlaubt einem nicht authentifizierten entfernten Angreifer Anfragen an interne Dienste oder das Fälschen vertrauenswürdiger Anfragen (CVE-2026-85963). Legacy-InfoStudio-Module konnten Zugriff auf Serverdateien geben (CVE-2026-85953).

Hinzu kommen drei Speicherfehler, eine Cross-Site-Scripting-Lücke, HTTP Response Splitting in der Query Console, inkonsistente TLS-Hostnamensprüfungen bei einigen ausgehenden Verbindungen sowie unverschlüsselter Cluster-Management-Verkehr auf 12.x.

Was sich mit dem Upgrade ändert

Progress empfiehlt, vor dem Upgrade die Upgrade-Hinweise und die bekannten Inkompatibilitäten für 11.3.7 und 12.1.0 zu lesen. Die 11.3.7-Hinweise listen Verhaltensänderungen zu 22 der Lücken, die 12.1.0-Hinweise zu 21. Änderungen, die bestehenden Code, Werkzeuge oder Automatisierung brechen können:

• mlcp: Ältere Versionen des MarkLogic Content Pump scheitern an den neuen Releases mit einem XDMP-ISOLATED-Fehler. Progress empfiehlt mlcp 11.3.7 oder 12.1.0; ältere Versionen laufen mit -restrict_hosts auf true, was die Leistung mindern kann.
• Entfernte Funktionen: Die API /manage/v2/packages, InfoStudio und OpsDirector sind entfernt.
• Neue Voreinstellungen: Die Verarbeitung externer XML-Entities ist standardmäßig abgeschaltet, S3-Verbindungen nutzen per Default HTTPS, und neue sowie rotierte Dateien ErrorLog.txt und AuditLog.txt werden mit Modus 0640 statt 0666 angelegt.
• Privilegien: xdmp:eval-in() benötigt nun sowohl xdmp-eval-in als auch xdmp-eval. Das Lesen von Authorization-Headern erfordert ein neues Privileg, das keine eingebaute Rolle besitzt. Forest-Anbindung, Backup und Restore werden gegen jeden berührten Forest und jede berührte Datenbank geprüft.
• Gespeicherte Geheimnisse: FlexRep-Konfigurationsantworten geben keine gespeicherten Passwörter, privaten Client-Schlüssel oder Passphrasen mehr zurück.
• Plattform: MarkLogic 11.3.7 unterstützt Amazon Linux 2 nicht.
• Namenskonflikte: Das Upgrade kann fehlschlagen, wenn im Cluster bereits eine Rolle, ein Benutzer oder ein Privileg mit einem von fünf Namen existiert, die ein neues Ticketsystem verwendet. Die Namen stehen in den Upgrade-Hinweisen.

Ohne zugeordnete CVE begrenzen beide Releases die XML-Entity-Expansion und entfernen schwache TLS-Cipher aus den Voreinstellungen; in 12.1.0 liefern Optic-Fragment-Abfragen standardmäßig nur noch Dokumentfragmente zurück. Zum Fix für CVE-2026-85954 warnen die Hinweise: “Dadurch verfügen Sie möglicherweise nicht mehr über Privilegien, auf die Sie zuvor Zugriff hatten, weil dieser Zugriff fehlerhaft war.”

Einige Probleme bestehen nach dem Upgrade fort: Bereits vorhandene Dateien ErrorLog.txt und AuditLog.txt behalten ihre alten Berechtigungen, bis sie rotiert oder neu erzeugt werden. Der Kerberos-Fix benötigt eine Keytab-Datei; fehlt sie, protokolliert der Server eine Warnung und überspringt die neue Prüfung. Eine weitere Lücke, CVE-2026-85959, führte dazu, dass erfolgreiche Anmeldungen nicht immer im Audit-Log erfasst wurden – laut Progress kann das die Fähigkeit von Kunden einschränken, unbefugten Zugriff oder Missbrauch von Zugangsdaten zu erkennen und zu untersuchen. Ob ein Upgrade ein Administratorkonto entfernt, das zuvor über CVE-2026-85947 angelegt wurde, geht aus den CVE-Einträgen und Upgrade-Hinweisen nicht hervor.

Zweite Welle seit August

Die 31 Schwachstellen sind die zweite Sammelveröffentlichung für MarkLogic innerhalb von 68 Tagen. Am 5. August hatte Progress zehn Lücken publiziert, sieben davon kritisch. Eine davon, CVE-2026-9192 mit CVSS 9.8, erlaubt laut CVE-Eintrag einem nicht authentifizierten entfernten Angreifer, die Passwortprüfung am ODBC App Server zu umgehen. In beiden Fällen lagen die Korrekturen vor der Offenlegung: Die August-Lücken wurden in Releases vom 1. und 6. Juli behoben, 35 beziehungsweise 30 Tage vor Erscheinen der CVE-Einträge; diesmal betrug der Abstand 32 Tage.

Eine Suche in der US-amerikanischen National Vulnerability Database am 13. Oktober lieferte 49 CVE-Einträge mit Bezug zu MarkLogic, 41 davon aus diesen beiden Wellen. Die übrigen acht stammen aus 2017 und 2018 und betreffen Antenna House DMC HTMLFilter, eine Drittkomponente in MarkLogic 8.0-6. Auch frühere MarkLogic-Versionen enthielten Sicherheitskorrekturen: Die Release Notes zu 11.3.1, 11.3.2 und 11.3.4 erwähnen jeweils “Patches für Sicherheitslücken”, ohne eine CVE im Code des Servers selbst zu benennen.