Dos fallos críticos en MarkLogic podrían dar control administrativo persistente a gestores delegados

Progress Software ha publicado 31 vulnerabilidades en su base de datos MarkLogic Server, de las cuales cinco han sido clasificadas como críticas. Dos de estas fallas críticas permitirían que una cuenta con privilegios de gestión limitados tome el control administrativo del servidor, según advirtió la compañía.

Las 31 vulnerabilidades se hicieron públicas el 12 de octubre, aunque las correcciones están disponibles desde el 10 de septiembre en MarkLogic 11.3.7 y MarkLogic 12.1.0. Las versiones afectadas son MarkLogic 11.x anteriores a 11.3.7 y MarkLogic 12.x anteriores a 12.1.0. La línea 11.3 es de soporte a largo plazo (LTS), mientras que la línea 12 es considerada de innovación y no tiene una versión 12.0 parcheada; su corrección es la 12.1.0, que además incorpora nuevas funcionalidades.

No basta con instalar las correcciones de las 10 vulnerabilidades divulgadas en agosto, que llegaron en las versiones 11.3.6 y 12.0.3, ya que ambas versiones también se ven afectadas por los nuevos fallos. Los registros CVE y las notas de actualización no indican si alguna de estas 31 vulnerabilidades ha sido explotada en ataques. Al 13 de octubre, ninguna aparecía en el catálogo de vulnerabilidades explotadas conocidas de la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. Tampoco se ofrece ningún workaround para quienes no puedan actualizar todavía.

Qué permiten los fallos críticos

Tres de los cinco fallos críticos recibieron una puntuación de 9.9 sobre 10 en la escala CVSS, y los otros dos 9.6. En cada caso, el atacante debe poseer ya un privilegio o una forma de ejecutar código en el servidor, según los registros CVE de la compañía.

Dos de ellos involucran bosques (forests). En MarkLogic, un bosque es una colección de documentos vinculada a una base de datos. La corrección de CVE-2026-85947 revela qué cuentas están en riesgo: una concesión administrativa con alcance de bosque ya no es suficiente por sí sola para adjuntar un bosque a una base de datos a elección de la cuenta. Las notas de actualización también recomiendan revisar las asignaciones delegadas de privilegios de bosques y bases de datos antes de actualizar, y auditar los roles que poseen xdmp-eval-in.

Investigadores externos reportaron cuatro de los cinco a través de Bugcrowd. El investigador conocido como rexnets está acreditado con CVE-2026-85947, CVE-2026-85948 y CVE-2026-85956, mientras que otro con el seudónimo WaltWhitehat está acreditado con CVE-2026-9191.

Fallos que dependen de la configuración

Progress clasificó 24 de los fallos restantes como de severidad alta y dos como media. El más alto, CVE-2026-85954, con 8.6, podría permitir a un atacante obtener más privilegios de los concedidos al pasar valores a ciertas funciones XQuery.

Varios de los otros solo aplican cuando se utiliza una característica o plataforma específica:

SAML: En implementaciones con autenticación SAML, un atacante remoto no autenticado podría hacer que el servidor acepte una aserción que debería rechazar (CVE-2026-85962). En versiones 11.x, el analizador SAML también podría procesar DTDs o entidades externas (CVE-2026-85957).
OAuth: Un atacante podría usar un token que el servidor no debería aceptar (CVE-2026-85958). La corrección añade verificaciones de emisor y audiencia para Ping Identity y otras configuraciones OAuth.
Kerberos basado en contraseña: En ciertas configuraciones, un atacante posicionado en la red podría suplantar el servicio de autenticación Kerberos (CVE-2026-85972).
Alojamiento en la nube: Un atacante autenticado podría acceder a servicios internos de la nube y obtener credenciales en Azure (CVE-2026-85951) y en despliegues en nube basados en Linux (CVE-2026-85952).
Registros de diagnóstico: Bajo ciertas configuraciones, el servidor podría escribir información sensible para la seguridad en los registros de diagnóstico (CVE-2026-85949 y, en Azure, CVE-2026-85961). Las claves secretas y tokens de sesión de AWS se escribían en texto plano cuando se habilitaba la ruta de seguimiento de IAM afectada, según las notas de actualización.
Amazon S3: Las conexiones a S3 podrían usar texto claro por defecto (CVE-2026-85975).
Consola de consultas: Un atacante remoto que consiga que un usuario autenticado de la Consola de consultas abra una página maliciosa podría ejecutar código del lado del servidor con los permisos de ese usuario (CVE-2026-85960). Un usuario autenticado de la Consola de consultas podría leer archivos arbitrarios del servidor (CVE-2026-85964).
Componentes heredados: OpsDirector, una característica obsoleta, podría permitir que un atacante remoto no autenticado realice solicitudes a servicios internos o falsifique solicitudes de confianza (CVE-2026-85963). Los módulos heredados de InfoStudio podrían dar acceso a archivos del servidor (CVE-2026-85953).

El resto incluye tres fallos de seguridad de memoria, una vulnerabilidad de cross-site scripting, división de respuestas HTTP en la Consola de consultas, verificaciones inconsistentes de nombres de host TLS en algunas conexiones salientes y tráfico de gestión de clúster en texto claro en la versión 12.x.

Qué cambia con la actualización

Progress recomienda a los clientes leer las notas de actualización y las incompatibilidades conocidas de las versiones 11.3.7 y 12.1.0 antes de actualizar. Las notas de 11.3.7 enumeran cambios de comportamiento relacionados con 22 de los fallos, y las de 12.1.0 con 21.

Entre los cambios que pueden romper código, herramientas o automatizaciones existentes se incluyen:

mlcp: Las versiones anteriores de MarkLogic Content Pump (mlcp) fallan contra las nuevas versiones con un error XDMP-ISOLATED. Progress recomienda mlcp 11.3.7 o 12.1.0. Las versiones anteriores pueden ejecutarse con -restrict_hosts establecido en true, lo que puede reducir el rendimiento.
Funciones eliminadas: Se eliminan la API /manage/v2/packages, InfoStudio y OpsDirector.
Nuevos valores por defecto: El procesamiento de entidades externas XML está desactivado por defecto, las conexiones S3 usan HTTPS por defecto, y los archivos nuevos y rotados ErrorLog.txt y AuditLog.txt se crean con modo 0640 en lugar de 0666.
Privilegios: xdmp:eval-in() ahora requiere tanto el privilegio xdmp-eval-in como xdmp-eval. La lectura de encabezados Authorization requiere un nuevo privilegio que ningún rol incorporado posee. La adjunción de bosques, las copias de seguridad y la restauración se verifican contra cada bosque y base de datos que tocan.
Secretos almacenados: Las respuestas de configuración de FlexRep ya no devuelven contraseñas almacenadas, claves privadas de cliente ni frases de contraseña.
Plataforma: MarkLogic 11.3.7 no soporta Amazon Linux 2.
Conflictos de nombres: La actualización puede fallar si el clúster ya tiene un rol, usuario o privilegio con uno de los cinco nombres utilizados por un nuevo sistema de tickets. Los nombres están en las notas de actualización.
Cambios sin CVE asociado: Ambas versiones limitan la expansión de entidades XML y eliminan cifrados TLS débiles de los valores por defecto. En 12.1.0, las consultas de fragmentos Optic devuelven solo fragmentos de documento por defecto.

Sobre la corrección de CVE-2026-85954, las notas advierten: "Como resultado, es posible que ya no tenga privilegios a los que antes tenía acceso, porque ese acceso era incorrecto".

Algunos problemas persisten tras la actualización. Los archivos existentes ErrorLog.txt y AuditLog.txt mantienen sus permisos antiguos hasta que se rotan o se recrean. La corrección de Kerberos necesita un keytab y, sin él, el servidor registra una advertencia y omite la nueva verificación.

Otra falla, CVE-2026-85959, hacía que los inicios de sesión exitosos no siempre se registraran en el registro de auditoría. Progress afirma que esto podría limitar la capacidad de un cliente para detectar e investigar accesos no autorizados o uso indebido de credenciales.

Los registros CVE y las notas de actualización no indican si la actualización elimina una cuenta de administrador creada a través de CVE-2026-85947 antes de la actualización.

Segundo lote desde agosto

Estas 31 vulnerabilidades son el segundo lote que Progress divulga para MarkLogic en 68 días. El 5 de agosto publicó 10, siete de ellas críticas. Una, CVE-2026-9192, obtuvo una puntuación de 9.8 y permite que un atacante remoto no autenticado eluda la verificación de contraseña en el ODBC App Server, según su registro CVE.

En ambos casos, las correcciones se lanzaron primero. Los fallos de agosto se corrigieron en versiones fechadas el 1 y 6 de julio, 35 y 30 días antes de que aparecieran sus registros CVE. Esta vez, la diferencia fue de 32 días.

Una búsqueda de The Hacker News en la Base de Datos Nacional de Vulnerabilidades (NVD) de EE. UU. el 13 de octubre devolvió 49 registros CVE que mencionan MarkLogic, 41 de ellos de estos dos lotes. Los otros ocho, de 2017 y 2018, son para Antenna House DMC HTMLFilter, un componente de terceros utilizado por MarkLogic 8.0-6. Versiones anteriores de MarkLogic también incluyeron correcciones de seguridad: las notas de versión de 11.3.1, 11.3.2 y 11.3.4 mencionan "parches para vulnerabilidades de seguridad" y no nombran ningún CVE en el código del propio servidor.