Progress heeft een nieuwe reeks kwetsbaarheden in MarkLogic Server bekendgemaakt. Van de 31 gemelde issues kregen er vijf de score critical. Vooral zorgwekkend: twee van die kritieke fouten kunnen ervoor zorgen dat een account met alleen gedelegeerde beheerdersrechten uiteindelijk toch administratorcontrole op de server krijgt—en die controle kan persistent zijn.
In dit artikel lees je wat er precies speelt, welke MarkLogic versies je moet upgraden, en welke praktische aandachtspunten uit de release-notes volgen.
Wat maakt de MarkLogic kritieke fouten zo problematisch?
De kern van het probleem is dat een aanvaller al toegang nodig heeft via rechten of code-uitvoering op de server. Met andere woorden: het is geen “pure remote hack” vanaf nul. Toch is de impact groot, omdat een account dat bedoeld was om slechts een deel van het beheer uit te voeren, kan doorschuiven naar hogere privileges.
Progress geeft aan dat de vijf critical kwetsbaarheden niet willekeurig te misbruiken zijn. In elk geval gaat het om scenario’s waarin de aanvaller al bepaalde macht heeft, of een manier weet om code te draaien binnen de omgeving.
Twee kritieke gevallen: forest- en grant-gerelateerd misbruik
Twee van de vijf critical issues zijn direct gelinkt aan forests in MarkLogic. Binnen MarkLogic is een forest een verzameling documenten die aan een database is gekoppeld. Juist die koppeling (en de manier waarop rechten zijn verleend) blijkt een zwak punt.
De fix voor CVE-2026-85947 laat zien wat er misgaat bij een “forest-scoped administrative grant”. Zulke gedelegeerde grants zijn na de upgrade niet langer voldoende om een forest te koppelen aan een database naar keuze. De upgrade-notities adviseren daarnaast om:
- de gedelegeerde forest- en database-privilege-toewijzingen te herzien vóór je upgradet;
- de rollen te auditen die xdmp-eval-in bezitten.
Een belangrijk signaal in de publicatie: de waarschuwing richt zich niet alleen op het upgraden, maar ook op het controleren van het privilege-model dat je al in productie hebt ingericht.
Welke versies moeten worden bijgewerkt?
Progress publiceerde alle 31 kwetsbaarheden op 12 oktober. Er zijn fixes beschikbaar sinds 10 september. Voor het patchen gelden twee duidelijke upgradepaden:
- MarkLogic 11.x vóór 11.3.7: upgrade naar 11.3.7.
- MarkLogic 12.x vóór 12.1.0: upgrade naar 12.1.0.
MarkLogic 11.3 is de LTS-lijn (long-term support). De 12-lijn noemt Progress een “innovation release”. In die 12-lijn is er volgens de toelichting geen patched versie van 12.0; de oplossing voor die reeks is 12.1.0, dat tegelijk ook nieuwe functionaliteit toevoegt.
Let op: eerdere patches alleen zijn niet genoeg
Veel teams hebben wellicht al in augustus patches doorgevoerd voor een eerste batch MarkLogic-issues. Maar Progress benadrukt dat upgrades voor die tien eerdere kwetsbaarheden niet automatisch volstaan.
Die eerdere fixes belandden in 11.3.6 en 12.0.3—maar ook die releases blijken kwetsbaar voor de nieuwe MarkLogic kritieke fouten. Wil je echt dichttimmeren, dan moet je nu door naar 11.3.7 en/of 12.1.0.
Geen workaround beschikbaar: upgrades vormen het hoofdpad
Uit de gepubliceerde informatie blijkt niet dat er een bruikbare workaround is voor klanten die (nog) niet kunnen upgraden. Ook in de CVE-registraties en upgrade-notities staat volgens de controle in de publicatie geen duidelijke aanwijzing dat mitigaties dit volledig oplossen.
Daarom is de praktische conclusie helder: plan de upgrade. Als je dat nog niet kunt, is het extra belangrijk om rechten, rollen en configuraties grondig te beoordelen—want de misbruikpaden hangen samen met privilege en specifieke features.
Niet alleen critical: meerdere high issues hangen af van configuratie
Naast de five critical problemen bevat de lijst nog 24 high issues en twee medium issues. Sommige daarvan hebben een hoge score omdat ze extra privileges kunnen geven via input naar XQuery-functies, maar anderen lijken vooral te gelden als een specifiek onderdeel of platform actief is.
Een paar voorbeelden die Progress noemt:
- SAML: in omgevingen met SAML-authenticatie kan een remote aanvaller de server mogelijk een af te wijzen assertion laten accepteren (CVE-2026-85962). Daarnaast kan de SAML-parser in 11.x externe DTD’s of entities verwerken (CVE-2026-85957).
- OAuth: een aanvaller kan misbruik maken van een token dat de server niet zou moeten accepteren (CVE-2026-85958). De fix voegt issuer- en audience-checks toe voor Ping Identity en andere OAuth-configuraties.
- Password-based Kerberos: in bepaalde configuraties kan een aanvaller die zich op het netwerk bevindt zich voordoen als Kerberos authenticatieservice (CVE-2026-85972).
- Cloud hosting: voor geauthenticeerde aanvallers kunnen er routes zijn naar interne cloudservices en het ophalen van credentials in Azure en Linux-based cloud deployments (CVE-2026-85951, CVE-2026-85952).
Andere punten gaan over diagnostic logs (waar security-informatie mogelijk verkeerd wordt vastgelegd), toegang via Query Console (server-side code onder user-permissies en het lezen van serverbestanden), legacy onderdelen zoals OpsDirector en InfoStudio-modules, en diverse overige issues zoals geheugenveiligheid, XSS en TLS-gerelateerde controles.
Wat verandert er bij de upgrade?
Progress vraagt klanten om de upgrade-notities en incompatibiliteiten te lezen vóórdat ze upgraden. In de publicatie staat dat de notities gedragsswijzigingen noemen voor respectievelijk 22 fixes in 11.3.7 en 21 fixes in 12.1.0.
Een aantal wijzigingen kan invloed hebben op code, tools of automatisering:
- mlcp: oudere versies werken niet meer tegen de nieuwe releases en geven een XDMP-ISOLATED fout. Progress adviseert mlcp 11.3.7 of 12.1.0. Alternatief kan -restrict_hosts true gebruikt worden, maar dat kan performance kosten.
- Verwijderde features: de /manage/v2/packages API, InfoStudio en OpsDirector zijn verwijderd.
- Nieuwe defaults: XML external entity processing staat uit bij standaardinstellingen. S3-verbindingen gebruiken standaard HTTPS. Daarnaast worden nieuwe/geroteerde ErrorLog.txt en AuditLog.txt met aangepaste permissies aangemaakt.
- Privileges: xdmp:eval-in() vereist nu zowel xdmp-eval-in als xdmp-eval. Ook het lezen van Authorization headers vraagt een nieuwe privilege (die geen built-in rol heeft). Forest attachment, backup en restore worden bovendien per forest en database gecontroleerd.
- Stored secrets: FlexRep configuratieresponses leveren geen opgeslagen wachtwoorden, private keys of passphrases meer terug.
Ook noemt Progress platformbeperkingen en risico’s rond naamconflicten bij het upgraden (bijvoorbeeld als er al rollen, users of privileges bestaan met bepaalde namen).
Welke effecten kun je in logs of audits merken?
De publicatie meldt dat niet alles “meteen perfect” wordt na de upgrade. Zo blijven bestaande ErrorLog.txt en AuditLog.txt aanvankelijk hun oude rechten houden tot je ze roteert of opnieuw aanmaakt.
Daarnaast is voor de Kerberos-fix een keytab nodig. Zonder keytab schrijft de server een waarschuwing in plaats van de nieuwe check uit te voeren.
Tot slot: er was ook een issue die kon zorgen dat succesvolle logins niet altijd in de auditlog terechtkwamen. Progress stelt dat dit gevolgen kan hebben voor je vermogen om ongeautoriseerde toegang of misbruik van credentials te detecteren en te onderzoeken.
Waarom dit verder gaat dan “alleen patchen”
De belangrijkste les uit de MarkLogic kritieke fouten is dat privilege-ontwerp en feature-configuratie het verschil maken tussen een theoretisch risico en een praktische exploit. Zelfs wanneer een aanvaller al enige macht heeft, bepaalt jouw inrichting hoe ver die macht kan reiken.
Controleer daarom niet alleen of je op tijd naar 11.3.7 of 12.1.0 gaat. Neem ook de auditpunten uit de release-notes mee: review delegated forest- en database-privileges en roltoewijzingen die evaluatiefuncties raken.
Als je breder kijkt naar het beveiligen van beheerdersflows en gedelegeerde toegang, past deze aanpak ook bij andere incidenttypen. Zie bijvoorbeeld hoe beheerde systemen en rollen misbruikt kunnen worden, zoals in Bring Your Own Agent: controle via identiteit.
Snelle checklist voor teams in de praktijk
- Upgrade naar 11.3.7 of 12.1.0 (eerdere 11.3.6/12.0.3 patches zijn niet genoeg).
- Lees de upgrade-notities en identificeer incompatibiliteiten voor jouw tools (zoals mlcp).
- Herzie delegated forest- en database-privilege-toewijzingen vóór de upgrade.
- Audit rollen die xdmp-eval-in gebruiken.
- Check logging/permissions na de upgrade: rotateer of hercreëer logbestanden waar nodig.
- Zorg dat Kerberos over een keytab beschikt als je die fix activeert.
Conclusie
De nieuwe MarkLogic kritieke fouten vragen om directe actie. Progress maakt duidelijk dat twee critical issues kunnen leiden tot administratorcontrole vanuit gedelegeerde beheersituaties, met forest-gerelateerde rechten als belangrijk onderdeel van het misbruikpad.
Door te upgraden naar 11.3.7 of 12.1.0 en tegelijk je privilege-inrichting en logging te controleren, verklein je niet alleen het technische risico, maar ook de kans dat een aanvaller via bestaande beheertools of rollen verder kan dan bedoeld.
Bron: https://thehackernews.com/2026/10/two-critical-marklogic-flaws-could-give.html
