Duas das 31 falhas de segurança recém-divulgadas no MarkLogic Server, banco de dados da Progress Software, podem permitir que uma conta com privilégios limitados de gerenciamento assuma o controle administrativo do servidor, informou a empresa.
A Progress divulgou as 31 falhas em 12 de outubro e classificou cinco delas como críticas. As correções estão disponíveis desde 10 de setembro, nas versões MarkLogic 11.3.7 e MarkLogic 12.1.0.
As versões afetadas e as atualizações recomendadas são:
- MarkLogic 11.x anterior à versão 11.3.7: atualizar para a versão 11.3.7.
- MarkLogic 12.x anterior à versão 12.1.0: atualizar para a versão 12.1.0.
A versão 11.3 do MarkLogic é a linha com suporte de longo prazo. Já a linha 12, que a Progress chama de versão de inovação, não tem uma versão 12.0 corrigida. A correção está na versão 12.1.0, que também inclui novos recursos.
Instalar as correções das 10 falhas do MarkLogic divulgadas pela Progress em agosto não é suficiente. Elas foram corrigidas nas versões 11.3.6 e 12.0.3, mas ambas também são afetadas pelas novas falhas.
Os registros CVE da Progress e as notas de atualização das duas versões não informam se alguma das 31 falhas foi usada em ataques. Em 13 de outubro, nenhuma delas constava no catálogo de vulnerabilidades conhecidas por serem exploradas da Cybersecurity and Infrastructure Security Agency (CISA), segundo uma consulta do The Hacker News.
Os registros e as notas também não indicam soluções alternativas para clientes que ainda não podem atualizar.
O que as falhas críticas permitem
A Progress atribuiu nota 9,9 de 10 na escala CVSS a três das cinco falhas críticas e nota 9,6 às outras duas. Segundo os registros CVE da empresa, em todos os casos o invasor precisa já ter algum privilégio ou uma forma de executar código no servidor.
Duas falhas envolvem florestas. No MarkLogic, uma floresta é um conjunto de documentos associado a um banco de dados.
- **
CVE-2026-85947
, nota 9,9:** exige privilégios de gerenciamento de florestas. Pode permitir a criação de uma conta administrativa persistente e, potencialmente, o controle administrativo completo do servidor.
- **
CVE-2026-85948
, nota 9,9:** exige privilégios de gerenciamento de usuários. Pode permitir que o invasor obtenha controle administrativo persistente por meio de uma falha de injeção de XQuery em um caminho obsoleto da API de gerenciamento.
- **
CVE-2026-85955
, nota 9,9:** exige acesso à execução de consultas e o privilégio `xdmp-eval-in`. Pode permitir a execução de código no servidor com permissões elevadas.
- **
CVE-2026-85956
, nota 9,6:** exige privilégios delegados de administrador de banco de dados. Pode permitir o backup ou a restauração de florestas fora do banco de dados do invasor, dando acesso a “dados críticos para a segurança” ou permitindo alterações neles, segundo a Progress.
- **
CVE-2026-9191
, nota 9,6:** exige a capacidade de executar código por determinados caminhos de avaliação REST e XDBC. Pode permitir ações não autorizadas ou o comprometimento de uma sessão autenticada.
A correção da
CVE-2026-85947
esclarece quais contas estão em risco. Segundo as notas de atualização, uma “concessão administrativa restrita à floresta” deixa de ser suficiente, por si só, para associar uma floresta a qualquer banco de dados escolhido pela conta. A empresa também recomenda que os clientes revisem as atribuições delegadas de privilégios para florestas e bancos de dados antes da atualização e auditem as funções que têm o privilégio `xdmp-eval-in`.
Pesquisadores externos relataram quatro das cinco falhas por meio da Bugcrowd. Um pesquisador que usa o identificador rexnets recebeu crédito pelas
CVE-2026-85947
,
CVE-2026-85948
e
CVE-2026-85956
. Outro, identificado como WaltWhitehat, foi creditado pela
CVE-2026-9191
.
Falhas que dependem da configuração
A Progress classificou 24 das falhas restantes como graves e duas como moderadas. A de maior pontuação nesse grupo, a
CVE-2026-85954
, recebeu nota 8,6. Ela pode permitir que um invasor obtenha mais privilégios do que os concedidos, passando valores a determinadas funções de XQuery.
Várias das outras falhas afetam apenas instalações que usam um recurso ou uma plataforma específica:
- **SAML:** em instalações que usam autenticação SAML, um invasor remoto sem autenticação poderia fazer o servidor aceitar uma declaração que deveria rejeitar (
CVE-2026-85962
). Na linha 11.x, o analisador SAML também poderia processar DTDs ou entidades externas (
CVE-2026-85957
).
- **OAuth:** um invasor poderia usar um token que o servidor deveria rejeitar (
CVE-2026-85958
). A correção adiciona verificações de emissor e público-alvo para o Ping Identity e outras configurações de OAuth.
- **Kerberos com senha:** em determinadas configurações, um invasor com acesso à rede poderia se passar pelo serviço de autenticação Kerberos (
CVE-2026-85972
).
- **Hospedagem em cloud:** um invasor autenticado poderia acessar serviços internos e obter credenciais da cloud no Azure (
CVE-2026-85951
) e em ambientes de cloud baseados em Linux (
CVE-2026-85952
).
- **Registros de diagnóstico:** em algumas configurações, o servidor poderia gravar informações sensíveis relacionadas à segurança nos registros de diagnóstico (
CVE-2026-85949
e, no Azure,
CVE-2026-85961
). As notas de atualização informam que chaves secretas da AWS e tokens de sessão eram gravados sem criptografia quando o caminho de rastreamento do IAM afetado estava ativado.
- **Amazon S3:** as conexões com o S3 poderiam usar comunicação sem criptografia por padrão (
CVE-2026-85975
).
- **Query Console:** um invasor remoto que induzisse um usuário conectado ao Query Console a abrir uma página maliciosa poderia executar código no servidor com as permissões desse usuário (
CVE-2026-85960
). Um usuário autenticado do Query Console também poderia ler arquivos arbitrários do servidor (
CVE-2026-85964
).
- **Componentes antigos:** o OpsDirector, um recurso obsoleto, poderia permitir que um invasor remoto sem autenticação enviasse solicitações a serviços internos ou falsificasse solicitações confiáveis (
CVE-2026-85963
). Módulos antigos do InfoStudio poderiam dar acesso a arquivos do servidor (
CVE-2026-85953
).
As demais falhas incluem três problemas de segurança de memória, uma falha XSS, divisão de respostas HTTP no Query Console, verificações inconsistentes de nomes de host TLS em algumas conexões de saída e tráfego de gerenciamento do cluster sem criptografia na linha 12.x.
O que muda com a atualização
A Progress recomenda que os clientes consultem as notas de atualização e as incompatibilidades conhecidas das versões 11.3.7 e 12.1.0 antes de atualizar. As notas da versão 11.3.7 descrevem mudanças de comportamento relacionadas a 22 falhas; as da versão 12.1.0 tratam de 21.
Entre as mudanças que podem afetar códigos, ferramentas ou processos automatizados existentes estão:
- **mlcp:** versões antigas do MarkLogic Content Pump (mlcp) falham nas novas versões com um erro `XDMP-ISOLATED`. A Progress recomenda o mlcp 11.3.7 ou 12.1.0. As versões antigas podem ser executadas com a opção `-restrict_hosts` definida como `true`, o que pode reduzir o desempenho.
- **Recursos removidos:** a API `/manage/v2/packages`, o InfoStudio e o OpsDirector foram removidos.
- **Novos padrões:** o processamento de entidades externas em XML fica desativado por padrão, as conexões S3 passam a usar HTTPS por padrão e os arquivos novos ou recriados após a rotação, como `ErrorLog.txt` e `AuditLog.txt`, passam a ter permissões 0640, em vez de 0666.
- **Privilégios:** a função `xdmp:eval-in()` passa a exigir os privilégios `xdmp-eval-in` e `xdmp-eval`. A leitura de cabeçalhos de autorização exige um novo privilégio que não é concedido a nenhuma função predefinida. A associação, o backup e a restauração de florestas passam a ser verificados em relação a todas as florestas e bancos de dados envolvidos.
- **Segredos armazenados:** as respostas de configuração do FlexRep deixam de retornar senhas armazenadas, chaves privadas de cliente ou frases secretas.
- **Plataforma:** o MarkLogic 11.3.7 não oferece suporte ao Amazon Linux 2.
- **Conflitos de nomes:** a atualização pode falhar se o cluster já tiver uma função, um usuário ou um privilégio com um dos cinco nomes usados pelo novo sistema de chamados. Os nomes estão nas notas de atualização.
- **Mudanças sem CVE associada:** as duas versões limitam a expansão de entidades XML e removem cifras TLS fracas das configurações padrão. Na versão 12.1.0, as consultas de fragmentos do Optic retornam apenas fragmentos de documentos por padrão.
Sobre a correção da
CVE-2026-85954
, as notas alertam: “Como resultado, talvez você deixe de ter privilégios aos quais tinha acesso anteriormente, pois esse acesso era indevido”.
Alguns problemas persistem depois da atualização. Os arquivos `ErrorLog.txt` e `AuditLog.txt` já existentes mantêm as permissões antigas até serem rotacionados ou recriados. A correção do Kerberos exige um arquivo keytab. Sem ele, o servidor registra um aviso e ignora a nova verificação.
Outra falha, a
CVE-2026-85959
, fazia com que logins bem-sucedidos nem sempre fossem registrados no registro de auditoria. Segundo a Progress, isso poderia limitar a capacidade dos clientes de detectar e investigar acessos não autorizados ou o uso indevido de credenciais.
Os registros CVE e as notas de atualização não esclarecem se a atualização remove uma conta administrativa criada por meio da
CVE-2026-85947
antes da instalação da correção.
Segundo lote desde agosto
As 31 falhas são o segundo lote divulgado pela Progress para o MarkLogic em 68 dias. Em 5 de agosto, a empresa publicou outras 10, sete delas classificadas como críticas. Uma delas, a
CVE-2026-9192
, recebeu nota 9,8 e, segundo o registro CVE, permite que um invasor remoto sem autenticação contorne a verificação de senha no ODBC App Server.
Nas duas ocasiões, as correções foram lançadas antes da divulgação das falhas. As vulnerabilidades de agosto foram corrigidas em versões datadas de 1º e 6 de julho, 35 e 30 dias antes da publicação dos respectivos registros CVE. Desta vez, o intervalo foi de 32 dias.
Uma busca feita pelo The Hacker News no Banco de Dados Nacional de Vulnerabilidades dos Estados Unidos (NVD), em 13 de outubro, encontrou 49 registros CVE que mencionam o MarkLogic. Desse total, 41 pertencem aos dois lotes recentes. Os outros oito, publicados em 2017 e 2018, referem-se ao Antenna House DMC HTMLFilter, um componente de terceiros usado pelo MarkLogic 8.0-6.
Versões anteriores do MarkLogic também receberam correções de segurança. As notas das versões 11.3.1, 11.3.2 e 11.3.4 mencionam “correções para vulnerabilidades de segurança”, mas não identificam nenhuma CVE no código do próprio servidor.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...