Progress MarkLogic Server: patch per falle critiche, anche account admin non autorizzati

• Progress ha corretto numerose falle critiche e alte in MarkLogic Server, avviso del 12 ottobre 2026
• Colpite le versioni 12.0–12.0.3 e 11.0–11.3.6; la versione 10 e precedenti non riceve patch
• Possibili account admin abusivi, esecuzione di codice, SSRF e accesso non autorizzato via SAML
• Aggiornare a 12.1 o 11.3.7 dopo il backup: il downgrade non è supportato

Progress ha pubblicato il 12 ottobre 2026 un avviso di sicurezza urgente per MarkLogic Server. Gli aggiornamenti correggono numerose vulnerabilità critiche e di gravità alta. Un attaccante potrebbe ottenere privilegi elevati, creare account amministratore non autorizzati, eseguire codice sul server, rubare credenziali e accedere a dati protetti.

Versioni colpite e corrette

Sono interessate le versioni da 12.0 a 12.0.3 e da 11.0 a 11.3.6. Le correzioni sono incluse in 12.1 e 11.3.7. La versione 10 e le precedenti sono fuori supporto: non sono state valutate fino in fondo e non riceveranno patch. Chi le usa deve passare a una release supportata. I clienti di Progress Data Cloud sono già stati aggiornati.

Le falle principali

Le più gravi riguardano la gestione impropria dei privilegi: un utente con permessi limitati può compiere azioni riservate agli amministratori.

• CVE-2026-85947: un utente remoto con permessi di gestione dei forest può creare un account amministratore persistente non autorizzato.
• CVE-2026-85948: XQuery injection in un percorso di pacchetto deprecato della Management API. Un utente con permessi a livello manage-user può ottenere il controllo amministrativo persistente.
• CVE-2026-85955: un utente con accesso all’esecuzione di query può invocare una funzione di valutazione XQuery senza il privilegio aggiuntivo richiesto. Il risultato è l’esecuzione di codice lato server con permessi elevati.
• CVE-2026-85960: token CSRF prevedibili in Query Console. Una pagina web malevola, aperta da un utente autenticato, può far eseguire codice lato server con i permessi di quell’utente.
• CVE-2026-85951: SSRF (server-side request forgery) nelle installazioni su Azure. Un utente autenticato può raggiungere servizi cloud interni e potenzialmente ottenere credenziali o token. CVE-2026-85952 comporta un rischio analogo su sistemi Linux.
• CVE-2026-85962: autenticazione SAML impropria. Nei deployment con SAML, un attaccante remoto non autenticato può far accettare a MarkLogic un’asserzione che andrebbe respinta, ottenendo accesso non autorizzato.

Il bollettino elenca anche problemi di XML external entity, path traversal, dati sensibili scritti nei log, validazione non sicura dell’hostname dei certificati TLS e trasporto in chiaro per alcune connessioni di gestione del cluster e verso Amazon S3. Ci sono inoltre falle di sicurezza della memoria, che possono causare crash, divulgazione limitata di memoria o modifica di dati.

Cosa fare

• Aggiornare MarkLogic Server 12.0–12.0.3 alla 12.1 e la serie 11.x fino alla 11.3.6 alla 11.3.7.
• Fare prima il backup dei database di contenuto e di sicurezza: MarkLogic Server non supporta il downgrade.
• Aggiornare anche i vecchi client MarkLogic Content Pump a versioni compatibili con la 12.1 o la 11.3.7.
• Verificare account amministratore, permessi di gestione dei forest, accesso a Query Console, percorsi di valutazione REST e XDBC, eventi di autenticazione, log diagnostici e connessioni in uscita inattese.

Progress avverte che i server colpiti possono funzionare normalmente e che l’assenza di indicatori non dimostra che il sistema non sia stato compromesso. La priorità va alle interfacce di gestione esposte, agli utenti MarkLogic privilegiati, ai deployment connessi al cloud e agli ambienti con SAML attivo.

Fonte: Cyber Security News · Foto: Cyber Security News