Progress MarkLogic Server — Vulnerabilidades Críticas de Autorización y Ejecución Permiten Escalada a Administrador (CVE-2026-85947)

Fecha de publicación: 13 de octubre de 2026
Categoría: Vulnerability / Web Security

Introducción

Progress Software ha emitido un boletín de seguridad que detalla 31 vulnerabilidades detectadas en MarkLogic Server, de las cuales cinco han sido catalogadas como críticas. Entre los hallazgos más graves destacan fallos de autorización y control de acceso que permiten a atacantes con privilegios limitados de gestión o ejecución de consultas obtener control administrativo persistente sobre los servidores afectados. Las vulnerabilidades fueron reportadas de manera coordinada por investigadores externos a través de plataformas de recompensas por errores y analizadas por los equipos de ingeniería de la compañía, obligando al lanzamiento de parches de emergencia en las versiones 11.3.7 y 12.1.0.

¿Qué es Progress MarkLogic Server? (Análisis General)

Progress MarkLogic Server es una plataforma de base de datos NoSQL multimodal de nivel empresarial, diseñada para la integración y gestión compleja de grandes volúmenes de datos estructurados y no estructurados (principalmente XML, JSON y texto enriquecido). El servidor organiza lógicamente los datos en estructuras denominadas forests (bosques), las cuales se conectan a bases de datos específicas y manejan operaciones intensivas de indexación y recuperación.

Dado que MarkLogic se despliega frecuentemente en infraestructuras corporativas críticas y gubernamentales para almacenar información altamente sensible, cualquier brecha en su modelo de control de acceso representa un riesgo sistémico. Las vulnerabilidades identificadas (como CVE-2026-85947, CVE-2026-85948 y CVE-2026-85955) socavan los límites de privilegios establecidos, permitiendo que identidades con roles delegados ejecuten código arbitrario o manipulen configuraciones de seguridad del sistema.

A continuación se detallan los vectores CVSS oficiales (versión 3.1) y las clasificaciones CWE confirmadas por la base de datos NVD para los fallos críticos principales:

  • CVE-2026-85947: CVSS 9.9 (CRITICAL) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — CWE-269 (Confirmed data from NVD).
  • CVE-2026-85948: CVSS 9.9 (CRITICAL) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — CWE-269 (Confirmed data from NVD).
  • CVE-2026-85955: CVSS 9.9 (CRITICAL) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — CWE-269 (Confirmed data from NVD).
  • CVE-2026-85956: CVSS 9.6 (CRITICAL) CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N — CWE-269 (Confirmed data from NVD).
  • CVE-2026-9191: CVSS 9.6 (CRITICAL) CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H — CWE-346 (Confirmed data from NVD).

¿Cómo funciona? (Análisis Técnico)

El análisis de las 31 vulnerabilidades revela múltiples superficies de ataque que van desde errores lógicos en la gestión de bosques hasta fallos en protocolos de federación (SAML/OAuth) y componentes heredados.

  • Flujo de escalada mediante gestión de bosques (CVE-2026-85947): Un atacante que posea credenciales con privilegios limitados de gestión de bosques puede abusar de validaciones de autorización deficientes para asociar bosques a bases de datos fuera de su alcance permitido y crear cuentas de administrador persistentes no autorizadas.
  • Inyección XQuery en rutas de gestión (CVE-2026-85948): Mediante una ruta de API de gestión obsoleta, un usuario con permisos de nivel de gestión puede inyectar código XQuery malicioso, logrando saltarse las restricciones de su rol y consolidar privilegios administrativos permanentes.
  • Evaluación de funciones sin privilegios requeridos (CVE-2026-85955 & CVE-2026-85954): El motor permite invocar funciones de evaluación XQuery de orden superior (como xdmp-eval-in) en un contexto de seguridad elevado sin verificar de forma estricta los permisos complementarios del emisor, resultando en ejecución de código con privilegios sobrantes.
  • Problemas de integración y configuración (SAML, OAuth, Kerberos, Cloud): Vulnerabilidades adicionales como CVE-2026-85962 y CVE-2026-85957 permiten la manipulación de aserciones SAML o procesamiento inseguro de DTDs externas en versiones 11.x. Asimismo, se detectaron exposiciones de secretos en trazas IAM de AWS (CVE-2026-85949) y conexiones en texto plano hacia Amazon S3 por defecto (CVE-2026-85975).

Sistemas / Entornos Afectados

Las vulnerabilidades impactan las ramas de desarrollo principales del servidor de bases de datos:

  • Progress MarkLogic Server versiones 11.x anteriores a la 11.3.7 (rama de soporte a largo plazo - LTS).
  • Progress MarkLogic Server versiones 12.x anteriores a la 12.1.0 (rama de innovación).
CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-85947 CWE-269 Creación de cuenta admin persistente 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-85948 CWE-269 Control administrativo vía XQuery 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-85955 CWE-269 Ejecución de código con permisos elevados 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-85956 CWE-269 Backup/Restore no autorizado de bosques 9.6 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
CVE-2026-9191 CWE-346 Bypass de aislamiento en rutas REST/XDBC 9.6 AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Mitigación y Detección

Remediación

Los administradores de sistemas deben aplicar inmediatamente las actualizaciones publicadas por el fabricante:

  • Actualizar las instalaciones de la rama 11.x a la versión MarkLogic 11.3.7 o superior.
  • Actualizar las instalaciones de la rama 12.x a la versión MarkLogic 12.1.0 o superior.
  • Revisiones operativas: Es imperativo revisar y auditar las asignaciones de privilegios delegados de bosques y bases de datos, examinar los roles que poseen la función xdmp-eval-in, y verificar las configuraciones de conectividad con AWS S3 y servicios de identidad externos. Cabe destacar que herramientas cliente antiguas como MarkLogic Content Pump (mlcp) pueden requerir actualización a las versiones 11.3.7 o 12.1.0 para mantener la compatibilidad con las nuevas restricciones de aislamiento.

Detección

Los equipos de seguridad defensiva deben monitorear exhaustivamente los registros de auditoría en busca de anomalías relacionadas con la creación repentina de cuentas administrativas y la ejecución de consultas en contextos de seguridad no habituales.

“La presencia de cuentas con privilegios administrativos creadas fuera de las ventanas de mantenimiento autorizadas o el uso anómalo de funciones de evaluación en rutas de gestión obsoletas constituye un indicador crítico de compromiso frente a esta campaña de fallos en MarkLogic.”

  • Monitoreo de Logs: Revisar activamente los ficheros ErrorLog.txt y AuditLog.txt (cuyos nuevos permisos por defecto se han endurecido a 0640) para detectar intentos de elusión de autenticación SAML, fallos en la validación de tokens OAuth o registros de depuración que hayan expuesto claves secretas de IAM.

Recapitulando

La revelación de 31 vulnerabilidades en MarkLogic Server subraya la complejidad inherente a las plataformas de datos empresariales y la necesidad de mantener políticas estrictas de control de acceso basado en privilegios mínimos (PoLP). Con múltiples fallos críticos que permiten a usuarios con privilegios delegados escalar hasta el control total del servidor, la aplicación de los parches en las versiones 11.3.7 y 12.1.0, sumada a una auditoría profunda de roles y funciones de evaluación, se convierte en una tarea ineludible para la protección de las infraestructuras corporativas.

Referencias