Progressは、MarkLogic Serverに存在する31件の脆弱性を修正するセキュリティアップデートを公開しました。これらの脆弱性を悪用されると、権限昇格やサーバーサイドでのコード実行、認証バイパス、認証情報の漏洩、データの侵害につながる恐れがあります。
2026年10月12日に公開されたこのアドバイザリーは、認可制御、セッション分離、XML処理、クラウド連携、メモリ安全性にまたがる重大度「クリティカル」および「高」の問題を取り上げています。
影響を受けるサポート対象リリースは、MarkLogic Server 12.0～12.0.3および11.0～11.3.6です。ただし、個々の脆弱性にはプラットフォーム、機能、構成に関する固有の条件があります。Progressは、12.1または11.3.7へのアップグレードを推奨しています。
Progress Data Cloud上のMarkLogic Serverデプロイメントには、すでにパッチが適用されています。複数の脆弱性は、委任された権限と管理者権限との境界を弱めるものです。
CVE-2026-85947では、フォレスト管理権限を持つ攻撃者が、永続的かつ不正な管理者アカウントを作成できます。CVE-2026-85948は、非推奨となっているManagement APIのパッケージパスにおけるXQueryインジェクションです。ユーザー管理レベルの権限を持つユーザーが、永続的な管理者権限を取得できる可能性があります。
CVE-2026-85955では、クエリ実行権限を持つ攻撃者が、本来必要な追加権限なしにXQuery評価関数を呼び出せます。その結果、昇格した権限でサーバーサイドのコードを実行される可能性があります。
これとは別に、CVE-2026-85954は、一部の高階XQuery関数に渡されたユーザー制御の値を、昇格したセキュリティコンテキスト内で評価してしまう問題です。
Query Consoleも攻撃対象となります。CVE-2026-85960では、予測可能なクロスサイトリクエストフォージェリ（CSRF）トークンが使われています。認証済みユーザーを悪意のあるページに誘導した攻撃者が、不正なリクエストを送信し、被害者の権限でコードを実行できる恐れがあります。
CVE-2026-9191は、評価対象のコードとHTTPのリクエスト、レスポンス、セッション状態との分離が不十分であることに関する問題です。認証面では、トークンやSAMLアサーションが不適切に受け入れられる弱点もあります。
CVE-2026-85962により、認証されていないリモートの攻撃者が、影響を受けるデプロイメントでSAML認証を回避できる可能性があります。また、非推奨のOpsDirector機能には、CVE-2026-85963として、認証不要のリクエストフォージェリと信頼されたリクエストのフォージェリという別のリスクがあります。
認証済みの攻撃者は、Azure固有、またはLinuxベースのサーバーサイドリクエストフォージェリ（SSRF）の欠陥を悪用し、内部のクラウドサービスにアクセスして、認証情報を取得できる可能性があります。このほか、診断ログを通じた機密情報の露出、送信TLS検証の弱体化、平文での送信を許してしまう問題もあります。
メモリ安全性に関する脆弱性は、JavaScript連携、クエリ処理、言語処理に影響します。文書化されている影響は、メモリ破損、プロセスの異常終了、限定的な情報漏洩、サーバーの不安定化などです。ただし、これらの欠陥について、任意のコード実行が可能になるとはバルletinでは確認されていません。
Progressは、影響を受けるインスタンスが事前の警告なしに通常どおり稼働し続ける可能性があると警告しています。侵害の兆候としては、予期しない管理上の変更、認証の異常、通常とは異なる外向きの接続、監査情報の改ざん、プロセスの不安定化などが考えられます。ただし、これらの兆候がないからといって、悪用されていないとは言い切れません。
アップグレードの前に、管理者はAPI、権限、認証、ログ記録、XML解析、通信動作に影響する互換性の変更点を確認する必要があります。古いMarkLogic Content Pumpクライアントは、修正済みのサーバーリリースに合わせて更新しなければなりません。
RPMベースのカスタムLinuxインストールでは、クラウドメタデータの保護のためにcurlをインストールしておく必要があります。既存のログ権限については、別途対処が必要です。サポートが終了したリリースは十分な評価が行われておらず、修正も提供されないため、サポート対象のバージョンに置き換えるべきです。
特に指定がない限り、バルletinでは、影響を受けるリリースを12.1.0より前の12.xおよび11.3.7より前の11.xとしています。プラットフォームと構成による制約は引き続き適用されます。提供されたバルletinには、個別のCVSSスコアは記載されていません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-progress-marklogic-server-flaws/
