Wprowadzenie do problemu / definicja
W systemach bazodanowych klasy enterprise podatności związane z autoryzacją i delegowaniem uprawnień należą do najgroźniejszych, ponieważ mogą prowadzić do przejęcia kontroli nad całym środowiskiem. W przypadku MarkLogic ujawniono nową grupę luk bezpieczeństwa, w tym dwie krytyczne, które mogą pozwolić użytkownikom z ograniczonymi uprawnieniami administracyjnymi na uzyskanie trwałego dostępu na poziomie administratora.
Problem jest szczególnie istotny, ponieważ nie chodzi wyłącznie o jednorazową eskalację uprawnień. Opisane błędy mogą zostać wykorzystane do utrzymania długotrwałej kontroli nad serwerem, co zwiększa ryzyko ukrytego naruszenia bezpieczeństwa i utrudnia późniejsze działania dochodzeniowe.
W skrócie
Progress Software opublikował 31 nowych podatności dotyczących MarkLogic Server, z czego pięć otrzymało ocenę krytyczną. Najpoważniejsze luki umożliwiają przejście z poziomu ról zarządzających do pełnych uprawnień administratora oraz potencjalne utrzymanie tego dostępu w sposób trwały.
- 31 nowych podatności dotyczy MarkLogic Server.
- Pięć błędów sklasyfikowano jako krytyczne.
- Najważniejsze luki to CVE-2026-85947 i CVE-2026-85948.
- Poprawki udostępniono w wersjach 11.3.7 oraz 12.1.0.
- Wcześniejsze aktualizacje z sierpnia nie eliminowały nowo ujawnionych problemów.
Kontekst / historia
MarkLogic to platforma bazodanowa wykorzystywana w środowiskach wymagających wysokiej wydajności, elastycznego modelu danych oraz rozbudowanych funkcji wyszukiwania i integracji. Ze względu na zastosowanie w systemach o znaczeniu biznesowym i operacyjnym, każda luka wpływająca na model uprawnień ma istotne znaczenie dla bezpieczeństwa organizacji.
Nowy pakiet 31 podatności to kolejna większa fala ujawnień w krótkim czasie. Wcześniejsze problemy opublikowano w sierpniu, a obecne informacje pokazują, że powierzchnia ataku nadal obejmuje mechanizmy zarządzania, ścieżki wykonania kodu, integracje chmurowe oraz elementy uwierzytelniania. To sugeruje, że organizacje korzystające z MarkLogic powinny traktować bezpieczeństwo tej platformy nie jako jednorazowy proces aktualizacji, lecz jako ciągły obszar kontroli.
Analiza techniczna
Najgroźniejsza z opisanych luk, CVE-2026-85947, dotyczy uprawnień do zarządzania forestami. W architekturze MarkLogic forest stanowi logiczno-fizyczny kontener dokumentów powiązany z bazą danych. Błąd umożliwia nadużycie delegowanych uprawnień administracyjnych w taki sposób, aby utworzyć trwałe konto administratora lub osiągnąć równoważny poziom kontroli nad instancją.
Druga krytyczna luka, CVE-2026-85948, jest związana z podatnością typu XQuery Injection w przestarzałej ścieżce interfejsu Management API. W tym scenariuszu użytkownik z uprawnieniami do zarządzania kontami może doprowadzić do eskalacji uprawnień i trwałego uzyskania dostępu administracyjnego. Oznacza to naruszenie granic separacji pomiędzy rolami delegowanymi a administracją globalną.
Pozostałe krytyczne błędy wskazują na szerszy problem z kontrolą uprawnień i bezpieczeństwem ścieżek wykonania kodu. Według opisu ujawnionych problemów część podatności może prowadzić do wykonywania kodu serwerowego z podniesionymi uprawnieniami, nieautoryzowanego backupu lub restore forestów poza przypisaną bazą danych, a także do przejęcia uwierzytelnionej sesji przez określone ścieżki REST i XDBC.
Wśród zgłoszonych luk znalazły się również problemy zależne od konfiguracji, obejmujące integracje SAML i OAuth, możliwość pozyskania poświadczeń w środowiskach chmurowych, zapisywanie wrażliwych danych w logach diagnostycznych oraz użycie połączeń plaintext do Amazon S3. W praktyce oznacza to, że ryzyko nie ogranicza się do samego silnika bazodanowego, lecz dotyczy również otaczających go komponentów administracyjnych i integracyjnych.
Konsekwencje / ryzyko
Największe zagrożenie wynika z możliwości trwałej eskalacji uprawnień. Jeśli napastnik lub użytkownik wewnętrzny dysponuje kontem z częściowo delegowanymi uprawnieniami administracyjnymi, może potencjalnie przejąć pełną kontrolę nad instancją MarkLogic i utrzymać ten dostęp przez dłuższy czas.
Skutki biznesowe mogą obejmować nieautoryzowany dostęp do danych, manipulację konfiguracją bezpieczeństwa, zmianę polityk autoryzacji, tworzenie ukrytych kont uprzywilejowanych, a także wdrożenie mechanizmów trwałości utrudniających wykrycie incydentu. Dodatkowym problemem jest ryzyko wycieku sekretów, poświadczeń chmurowych oraz nadużycia komponentów administracyjnych przez osoby już uwierzytelnione.
Istotne jest również to, że wcześniejsze poprawki nie usuwały nowo opisanych podatności. Oznacza to, że organizacje, które wdrożyły sierpniowe aktualizacje i uznały temat za zamknięty, mogą nadal pozostawać narażone na atak.
Rekomendacje
Priorytetem powinno być niezwłoczne przejście na MarkLogic 11.3.7 lub 12.1.0, zależnie od używanej linii produktowej. Proces aktualizacji warto poprzedzić analizą kompatybilności, ponieważ poprawki obejmują także zmiany w domyślnych ustawieniach bezpieczeństwa, interfejsach zarządzania i wymaganiach dla części operacji uprzywilejowanych.
- przeprowadzić przegląd ról delegowanych, zwłaszcza uprawnień do zarządzania forestami, bazami danych i użytkownikami,
- zweryfikować użycie funkcji wykonujących kod po stronie serwera, w tym mechanizmów eval,
- sprawdzić, czy w systemie nie pojawiły się nieautoryzowane konta administracyjne lub nietypowe zmiany ról,
- przeanalizować logi audytowe pod kątem tworzenia użytkowników, zmian uprawnień oraz operacji backup i restore,
- przeprowadzić rotację poświadczeń i sekretów, jeśli istnieje ryzyko ich ekspozycji,
- ograniczyć lub wyłączyć przestarzałe komponenty i starsze ścieżki API,
- przetestować po aktualizacji integracje SAML, OAuth, Query Console i funkcje chmurowe.
W organizacjach o wyższym poziomie dojrzałości bezpieczeństwa zasadne może być także wdrożenie środków kompensacyjnych, takich jak dodatkowy monitoring operacji administracyjnych, segmentacja dostępu do interfejsów zarządzania oraz ograniczenie liczby użytkowników posiadających delegowane role do absolutnego minimum.
Podsumowanie
Nowe podatności w MarkLogic pokazują, jak poważne konsekwencje mogą mieć błędy w granicach pomiędzy uprawnieniami delegowanymi a pełną administracją. Dwie krytyczne luki umożliwiają trwałe przejęcie uprawnień administratora, co przekłada się na wysokie ryzyko przejęcia danych, naruszenia integralności środowiska i ukrytego utrzymania dostępu.
Dla organizacji korzystających z MarkLogic oznacza to konieczność szybkiego wdrożenia poprawek, ale także przeprowadzenia audytu ról, kont uprzywilejowanych i ścieżek wykonania kodu. W tym przypadku samo łatanie może nie wystarczyć, jeśli podatności zostały już wykorzystane do ustanowienia trwałej obecności w systemie.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/two-critical-marklogic-flaws-could-give.html
- CVE Record: CVE-2026-85947 — https://www.cve.org/CVERecord?id=CVE-2026-85947
- CVE Record: CVE-2026-85948 — https://www.cve.org/CVERecord?id=CVE-2026-85948
- MarkLogic Server Release Notes 11.3.7 — https://docs.progress.com/bundle/marklogic-server-release-notes-11/page/topics/relnotes/chap11/11.3.7.html
- MarkLogic Server Release Notes 12.1.0 — https://docs.progress.com/bundle/marklogic-server-release-notes-12/page/topics/relnotes/chap12/12.1.0.html