Betroffen ist der Datenbankserver MarkLogic Server von Progress. In bestimmten Konfigurationen der passwortbasierten Anmeldung prüft der Server die Identität des Kerberos-Authentifizierungsdienstes nicht ausreichend. Kerberos ist ein Netzwerkprotokoll, über das Benutzer und Dienste ihre Identität gegenseitig nachweisen – fehlt diese Gegenprüfung, verlässt sich der Server auf eine Gegenstelle, deren Echtheit er nicht bestätigt hat. Ein Angreifer, der sich an geeigneter Stelle im Netzwerk befindet, kann sich dadurch als vertrauenswürdige Authentifizierungsinfrastruktur ausgeben und den Anmeldevorgang unterlaufen. In der Folge kann er sich unberechtigten Zugriff auf geschützte Daten verschaffen oder diese verändern. Voraussetzung ist eine Position im Netzwerkpfad zwischen Server und Authentifizierungsdienst, etwa durch einen Angriff auf die Netzwerkkommunikation; eigene gültige Zugangsdaten benötigt der Angreifer nicht.