I delegati di MarkLogic possono diventare admin persistenti
Progress ha pubblicato il 12 ottobre 31 flaw in MarkLogic Server. Due sono critici e possono far passare un account con soli privilegi delegati di forest o database a un controllo amministratore persistente del server. Le correzioni sono disponibili dal 10 settembre in MarkLogic 11.3.7 e 12.1.0.
Il punto non è solo la severità dei CVE. In MarkLogic, un grant amministrativo limitato su una forest non basta più a giustificare l'aggancio di quella forest al database scelto dall'account, perché quel passaggio poteva trasformare una delega parziale in controllo pieno. Le patch di agosto non coprono questa nuova serie; le versioni 11.3.6 e 12.0.3 restano esposte.
Per chi usa amministrazione delegata su MarkLogic 11.x e 12.x, il rischio è che un modello pensato per contenere i privilegi diventi una via di takeover del server. Progress non indica workaround né sfruttamento noto, quindi la questione resta di esposizione corretta e versione installata, non solo di singola CVE.
CVSS 9.8 CRITICAL: an authentication bypass vulnerability in the ODBC App Server of Progress MarkLogic Server before 11.3.6 and 12.0.3… EPSS 0.8% (57º percentile).
CVSS 9.9 CRITICAL: progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 contain an authorization flaw in certain forest-management operations.
CVSS 9.9 CRITICAL: progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 contain an XQuery injection flaw in a deprecated Management API package path.
Progress Software: sanate vulnerabilità in MarkLogic Server
Rilasciati aggiornamenti di sicurezza per sanare 31 vulnerabilità, di cui 5 con gravità "critica" e 24 con gravità "alta", in Progress MarkLogic Server, nota piattaforma di database NoSQL progettata per archiviare, integrare, gestire e ricercare grandi volumi di dati eterogenei all'interno di un unico sistema.