Duas de 31 falhas recém-divulgadas no banco de dados MarkLogic Server, da Progress Software, podem permitir que uma conta com apenas alguns privilégios de gerenciamento assuma o controle de administrador do servidor, afirma a empresa.
A Progress publicou todas as 31 em 12 de outubro e classificou cinco como críticas. As correções estão disponíveis desde 10 de setembro, nas versões MarkLogic 11.3.7 e MarkLogic 12.1.0.
Versões afetadas e a versão que corrige cada uma:
- MarkLogic 11.x anteriores à 11.3.7: atualizar para a 11.3.7
- MarkLogic 12.x anteriores à 12.1.0: atualizar para a 12.1.0
O MarkLogic 11.3 é a linha de suporte de longo prazo (LTS, sigla de long-term support). A linha 12, que a Progress chama de versão de inovação, não tem uma versão 12.0 corrigida. Sua correção é a 12.1.0, que também acrescenta novos recursos.
Instalar as correções das 10 falhas do MarkLogic divulgadas pela Progress em agosto não basta. Essas correções chegaram nas versões 11.3.6 e 12.0.3, e ambas são afetadas pelas novas falhas.
Os registros CVE da Progress (sigla de Common Vulnerabilities and Exposures, ou catálogo de vulnerabilidades e exposições) e as notas de atualização das duas versões não informam se alguma das 31 falhas foi usada em ataques. Nenhuma constava no catálogo Known Exploited Vulnerabilities, da U.S. Cybersecurity and Infrastructure Security Agency (CISA), quando o The Hacker News verificou, em 13 de outubro.
Os mesmos registros e notas não listam nenhuma solução alternativa para os clientes que ainda não podem atualizar.
O que as falhas críticas permitem
A Progress atribuiu a três das cinco falhas críticas nota 9,9 de 10 na escala CVSS (Common Vulnerability Scoring System) e às outras duas nota 9,6. Em cada uma, o atacante precisa já ter um privilégio ou uma forma de executar código no servidor, segundo os registros CVE da empresa.
Duas delas envolvem forests. No MarkLogic, uma forest é uma coleção de documentos anexada a um banco de dados.
A correção da CVE-2026-85947 mostra quais contas estão em questão. Uma «forest-scoped administrative grant» (concessão administrativa restrita a forests) deixa de ser suficiente, por si só, para anexar uma forest a um banco de dados escolhido pela conta, dizem as notas de atualização. Elas também orientam os clientes a revisar as atribuições delegadas de privilégios de forest e de banco de dados antes de atualizar, e a auditar os papéis que têm acesso ao xdmp-eval-in.
Pesquisadores externos reportaram quatro das cinco falhas pelo Bugcrowd. Um pesquisador com o identificador rexnets é creditado pelas CVE-2026-85947, CVE-2026-85948 e CVE-2026-85956, e outro, com o identificador WaltWhitehat, é creditado pela CVE-2026-9191.
Falhas que dependem de configuração
A Progress classificou 24 das demais falhas como de gravidade alta e duas como média. A mais alta, a CVE-2026-85954, com nota 8,6, pode permitir que um atacante obtenha mais privilégios do que os concedidos ao passar valores para determinadas funções XQuery (linguagem de consulta usada em dados estruturados).
Várias outras se aplicam apenas onde um recurso ou plataforma específica está em uso:
- SAML: Em implantações que usam autenticação SAML (Security Assertion Markup Language, padrão de troca de informações de autenticação), um atacante remoto não autenticado poderia levar o servidor a aceitar uma asserção que deveria rejeitar (CVE-2026-85962). Na versão 11.x, o analisador SAML também poderia processar DTDs (Document Type Definitions, definições de tipo de documento) ou entidades externas (CVE-2026-85957).
- OAuth: Um atacante poderia usar um token que o servidor não deveria aceitar (CVE-2026-85958). A correção acrescenta verificações de emissor e de público para a Ping Identity e outras configurações do protocolo OAuth (protocolo de autorização).
- Kerberos com senha: Em certas configurações, um atacante posicionado na rede poderia se passar pelo serviço de autenticação Kerberos, protocolo de autenticação em rede (CVE-2026-85972).
- Hospedagem em nuvem: Um atacante autenticado poderia acessar serviços internos de nuvem e obter credenciais de nuvem no Azure (CVE-2026-85951) e em implantações em nuvem baseadas em Linux (CVE-2026-85952).
- Logs de diagnóstico: Em determinadas configurações, o servidor poderia gravar informações sensíveis de segurança em logs de diagnóstico (CVE-2026-85949 e, no Azure, CVE-2026-85961). Chaves secretas e tokens de sessão da AWS (Amazon Web Services) foram gravados em texto simples quando o caminho de rastreamento do IAM (Identity and Access Management, gerenciamento de identidades e acessos) afetado estava habilitado, segundo as notas de atualização.
- Amazon S3: As conexões com o S3 podiam usar texto não criptografado por padrão (CVE-2026-85975).
- Query Console: Um atacante remoto que levasse um usuário autenticado do Query Console a abrir uma página maliciosa poderia executar código no servidor com as permissões desse usuário (CVE-2026-85960). Um usuário autenticado do Query Console poderia ler arquivos arbitrários do servidor (CVE-2026-85964).
- Componentes legados: O OpsDirector, recurso descontinuado, poderia permitir que um atacante remoto não autenticado fizesse requisições a serviços internos ou forjasse requisições confiáveis (CVE-2026-85963). Módulos legados do InfoStudio poderiam dar acesso a arquivos do servidor (CVE-2026-85953).
As demais incluem três falhas de segurança de memória, uma falha de cross-site scripting, divisão de resposta HTTP (HTTP, protocolo de transferência de hipertexto) no Query Console, verificações inconsistentes de nome de host TLS (Transport Layer Security, protocolo de segurança da camada de transporte) em algumas conexões de saída e tráfego de gerenciamento de cluster sem criptografia na versão 12.x.
O que a atualização muda
A Progress orienta os clientes a ler as notas de atualização, as incompatibilidades conhecidas da 11.3.7 e as da 12.1.0, antes de atualizar. As notas da 11.3.7 listam mudanças de comportamento ligadas a 22 das falhas, e as da 12.1.0, a 21.
Mudanças que podem quebrar código, ferramentas ou automações existentes incluem:
- mlcp: Versões antigas do MarkLogic Content Pump (mlcp) não funcionam com as novas versões e apresentam o erro XDMP-ISOLATED. A Progress recomenda o mlcp 11.3.7 ou 12.1.0. Versões antigas podem rodar com -restrict_hosts definido como true, o que pode reduzir o desempenho.
- Recursos removidos: A API /manage/v2/packages, o InfoStudio e o OpsDirector foram removidos.
- Novos padrões: O processamento de entidades externas XML (XML, Extensible Markup Language) vem desativado por padrão, as conexões com o S3 usam HTTPS (versão segura do HTTP) por padrão, e os arquivos ErrorLog.txt e AuditLog.txt, novos e rotacionados, são criados com modo 0640 em vez de 0666.
- Privilégios: xdmp:eval-in() agora exige os privilégios xdmp-eval-in e xdmp-eval. A leitura de cabeçalhos Authorization exige um novo privilégio que nenhum papel integrado possui. A anexação de forests, o backup e a restauração são verificados em todas as forests e bancos de dados que tocam.
- Segredos armazenados: As respostas de configuração do FlexRep não retornam mais senhas armazenadas, chaves privadas de clientes nem frases-chave.
- Plataforma: O MarkLogic 11.3.7 não oferece suporte ao Amazon Linux 2.
- Conflitos de nomes: A atualização pode falhar se o cluster já tiver um papel, usuário ou privilégio com um dos cinco nomes usados por um novo sistema de tickets. Os nomes estão nas notas de atualização.
- Mudanças sem CVE associada: As duas versões limitam a expansão de entidades XML e removem cifras TLS fracas dos padrões. Na 12.1.0, consultas de fragmentos Optic retornam apenas fragmentos de documentos por padrão.
Sobre a correção da CVE-2026-85954, as notas alertam: «Como resultado, você pode não ter mais privilégios que tinha anteriormente, porque esse acesso estava incorreto».
Alguns problemas permanecem após a atualização. Os arquivos ErrorLog.txt e AuditLog.txt já existentes mantêm as permissões antigas até serem rotacionados ou recriados. A correção de Kerberos precisa de um keytab (arquivo de chaves de autenticação); sem ele, o servidor registra um aviso e pula a nova verificação.
Outra falha, a CVE-2026-85959, fazia com que logins bem-sucedidos nem sempre fossem registrados no log de auditoria. Segundo a Progress, isso pode limitar a capacidade do cliente de detectar e investigar acessos não autorizados ou uso indevido de credenciais.
Os registros CVE e as notas de atualização não informam se a atualização remove uma conta de administrador criada por meio da CVE-2026-85947 antes da atualização.
Segundo lote desde agosto
As 31 falhas são o segundo lote divulgado pela Progress para o MarkLogic em 68 dias. Em 5 de agosto, a empresa publicou 10, sete delas classificadas como críticas. Uma delas, a CVE-2026-9192, recebeu nota 9,8 e permite que um atacante remoto não autenticado burle a verificação de senha no ODBC App Server (Open Database Connectivity, padrão de conexão com bancos de dados), segundo o registro CVE.
Nos dois casos, as correções foram lançadas primeiro. As falhas de agosto foram corrigidas em versões datadas de 1º e 6 de julho, 35 e 30 dias antes de seus registros CVE aparecerem. Desta vez, a diferença foi de 32 dias.
Uma busca do The Hacker News na National Vulnerability Database (NVD, banco nacional de vulnerabilidades dos EUA), em 13 de outubro, retornou 49 registros CVE que mencionam o MarkLogic, 41 deles desses dois lotes. Os outros oito, de 2017 e 2018, referem-se ao Antenna House DMC HTMLFilter, componente de terceiros usado pelo MarkLogic 8.0-6. Versões anteriores do MarkLogic também trouxeram correções de segurança: as notas de lançamento das versões 11.3.1, 11.3.2 e 11.3.4 mencionam cada uma «correções para vulnerabilidades de segurança» e não citam nenhuma CVE no código do próprio servidor.
