LONDON (IT BOLTWISE) – Progress hat 31 Sicherheitslücken im MarkLogic Server veröffentlicht, darunter fünf mit dem Kritikalitäts-Label. Besonders problematisch sind zwei Fälle: Ein Angreifer mit Teilprivilegien kann ein dauerhaftes Administrator-Konto anlegen und dabei vollständige Admin-Rechte erreichen. Die Fixes sind bereits seit dem 10. September verfügbar, konkret in MarkLogic 11.3.7 und 12.1.0. Offen bleibt laut den CVE-Notizen, ob die Lücken bereits ausgenutzt wurden, und es gibt vorerst keine allgemeingültigen Workarounds für Umgebungen ohne sofortiges Upgrade.
Im MarkLogic Server häufen sich die kritischen Nacharbeiten: Progress hat 31 neu gemeldete Schwachstellen offengelegt und dabei fünf als „critical“ eingestuft. Technisch rücken vor allem Szenarien in den Vordergrund, in denen ein Angreifer nicht von Null startet, sondern bereits über gewisse Rechte verfügt oder Code auf dem System ausführen kann. Genau diese Voraussetzung macht die Lücken im Kern so gefährlich: Statt allein Authentifizierung zu umgehen, erlauben sie es, die Rechteausweitung zu „persistieren“ – also auch nach einem einzelnen Zugriff nicht mehr nur temporär, sondern dauerhaft Admin-ähnliche Kontrolle zu erreichen.
Die erste Spur führt zu einem „forest-scoped administrative grant“, der nach den Upgrade-Hinweisen allein nicht genügt, um das Risiko ausreichend einzudämmen. Zwei der fünf Critical-Fehler tragen die höchsten CVSS-Werte (9,9 von 10) und beschreiben Pfade, über die ein Konto mit nur teilweisen Management- oder Ausführungsrechten eine dauerhafte Kontrolle erlangen kann. Konkret nennt Progress CVE-2026-85947: Wer bereits Forest-Management-Privilegien besitzt, kann potenziell ein dauerhaftes Administratorkonto schaffen und damit vollständige administrative Kontrolle über den Server erlangen. Der zweite Weg, CVE-2026-85948, setzt auf Manage-User-Level-Privilegien und führt laut den CVE-Details über eine XQuery-Injection in einem veralteten Management-API-Pfad zu anhaltender Administratorsteuerung.
Daneben zeigt sich, wie eng in MarkLogic Privilegien, Datenmodelle und Ausführungsmechanismen miteinander verzahnt sind: CVE-2026-85955 (ebenfalls 9,9) verknüpft Query-Execution-Zugriff und das Privileg „xdmp-eval-in“, um serverseitigen Code mit erhöhten Berechtigungen laufen zu lassen. Für Administratoren ist dabei weniger die einzelne Lücke entscheidend als die Mustererkennung: Sobald ein System gefährliche Ausführungskanäle erlaubt, verschiebt sich das Angriffsziel von „Daten lesen“ hin zu „Systemlogik missbrauchen“. Weitere Reibungspunkte betreffen inhaltlich besonders sensible Operationen auf Forest-Ebene: CVE-2026-85956 (9,6) adressiert Delegated-Database-Administrator-Privilegien und kann Backup- oder Restore-Aktionen ermöglichen, die den Zugriff auf – oder die Änderung von – als „security-critical data“ bezeichneten Inhalten außerhalb des eigenen Datenbereichs erlauben.
Die Empfehlungen von Progress zielen deshalb auf den konkreten Betrieb, nicht nur auf die Version: Kunden sollen vor dem Upgrade delegierte Forest- und Datenbankprivilegien überprüfen und zusätzlich Rollen auditieren, die „xdmp-eval-in“ halten. Auch die Veröffentlichung früherer Fixes wird dabei relativiert: Selbst das Nachziehen der im August adressierten zehn MarkLogic-Lücken reicht nicht aus, da auch Releases wie 11.3.3 bzw. 12.0.x von den neuen Problemen betroffen sind. Progress ordnet daher klare Zielversionen zu: MarkLogic 11.x vor 11.3.7 muss auf 11.3.7 aktualisiert werden, 12.x vor 12.1.0 auf 12.1.0. Interessant ist auch die Release-Philosophie: Die 11.3-Linie gilt als Long-Term-Support, während die 12er Linie „Innovation Release“ ist und ein gepatchtes 12.0 ohne Sprung auf 12.1.0 offenbar nicht bereitgestellt wird.
Für die Markt- und Planungsseite kommt hinzu, dass die 31 Lücken nicht nur isolierte Webfehler umfassen, sondern auch Konfigurationen, Integrationen und Cloud-Betrieb berühren. Progress nennt beispielhaft Authentifizierungs- und Token-Folgen (etwa SAML- und OAuth-Fälle), Kerberos-Setups, bei denen ein Angreifer innerhalb bestimmter Netzkonstellationen den Kerberos-Dienst imitieren könnte, sowie Cloud-bezogene Risiken, bei denen Authentifizierungsdaten in Interaktionen mit internen Cloud-Services bzw. Azure-Umgebungen relevant werden können. Darüber hinaus werden auch Lücken erwähnt, die sich erst im Zusammenspiel bestimmter Komponenten zeigen – etwa in Diagnostic-Logs, im Zusammenhang mit Query Console oder bei legacy Features wie OpsDirector. Gerade für Unternehmen mit komplexen Identity-Setups und vorhandenen Automatisierungen bedeutet das: Ein reines „Upgrade auf die nächste Punktversion“ kann teils mehr Arbeit erzeugen, weil Inkompatibilitäten und geänderte Defaults die bisherigen Abläufe beeinflussen.
Wie tiefgreifend die Umstellungen sein können, zeigt sich in den Upgrade-Details zu den beiden Zielreleases. Progress nennt unter anderem Kompatibilitätsprobleme mit älteren MarkLogic Content Pump-Versionen (mlcp) bei neuen Releases, ergänzt um Optionen wie eine Performance-begrenzende Workaround-Variante über „-restrict_hosts“. Auch entfernte APIs und Module werden aufgeführt, darunter „/manage/v2/packages“, InfoStudio und OpsDirector. Gleichzeitig werden sicherheitsrelevante Defaults gesetzt: XML External Entity Processing ist standardmäßig aus, S3-Verbindungen werden auf HTTPS umgestellt, und die neuen bzw. rotierten ErrorLog.txt und AuditLog.txt werden mit restriktiveren Dateirechten (0640 statt 0666) erzeugt. In den Privileg-Checks verschärft sich zudem das Zusammenspiel: „xdmp: eval-in()“ benötigt jetzt sowohl „xdmp-eval-in“ als auch „xdmp-eval“-Privilegien, und bestimmte frühere Berechtigungsannahmen beim Lesen von Authorization-Headers greifen nicht mehr.
Für Entscheider ist der wichtigste operative Punkt: Nicht jeder Upgrade-Pfad ist „blind“ sicher, weil einige Checks nur mit den passenden Betriebsartefakten aktiv werden. So hängt der Kerberos-Fix laut den Hinweisen an einem keytab; ohne dieses Material protokolliert der Server lediglich eine Warnung und überspringt den neuen Prüfmechanismus. Außerdem können einzelne Probleme nach dem Upgrade in den bestehenden Log-Dateirechten fortwirken, bis ErrorLog.txt und AuditLog.txt rotiert oder neu erstellt werden. Progress räumt außerdem eine offene Frage ein: In den CVE-Records und Upgrade Notes steht nicht ausdrücklich, ob ein über CVE-2026-85947 angelegtes Administratorkonto nach dem Upgrade automatisch entfernt wird. Damit verschiebt sich das Sicherheitsrisiko zwar auf den „Fix- und Validierungsprozess“, aber es bleibt entscheidend, die Delegations- und Rollenlandschaft unmittelbar nach dem Update aktiv zu verifizieren.
Der zweite Layer der Risikogeschichte ist zeitlich und prozessual: Es handelt sich um die zweite Schwachstellenserie innerhalb kurzer Zeit. Progress hatte bereits am 5. August eine erste Gruppe veröffentlicht, die zehn Lücken umfasste, ebenfalls mit mehreren Critical-Einstufungen. In dieser Runde liegt der Abstand vom August-Disclosure zur CVE-Nennung insgesamt bei deutlich kürzeren Zyklen als historisch üblich, und die Zahl der CVE-Einträge mit Bezug zu MarkLogic steigt entsprechend. Für die Praxis bedeutet das: Sicherheitsverantwortliche sollten nicht nur die aktuellen CVEs betrachten, sondern auch prüfen, welche Rollen und Integrationen seit dem letzten Patch-Zyklus unverändert geblieben sind – insbesondere jene mit Delegation, serverseitiger Evaluation (xdmp-eval-in) und Konfigurationspfaden, die in den Notes als fehleranfällig beschrieben werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Progress MarkLogic: Zwei kritische Lücken ermöglichen persistentes Admin-Konto" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Progress MarkLogic: Zwei kritische Lücken ermöglichen persistentes Admin-Konto" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Progress MarkLogic: Zwei kritische Lücken ermöglichen persistentes Admin-Konto« bei Google Deutschland suchen, bei Bing oder Google News!