MarkLogic'te 31 Güvenlik Açığı: İki Kritik Hata Yönetici Hesabı Ele Geçirilmesine İzin Veriyor

Progress Software, veritabanı yönetim platformu MarkLogic Server'da toplam 31 güvenlik açığını 12 Ekim'de kamuoyuyla paylaştı. Şirket bu açıklardan beşini kritik olarak derecelendirdi. En dikkat çekici ikisi, yalnızca belirli yönetim yetkileriyle donatılmış bir hesabın sunucu üzerinde kalıcı yönetici denetimi ele geçirmesine kapı aralıyor. Sorunları gideren yamalar 10 Eylül'de yayımlanan MarkLogic 11.3.7 ve MarkLogic 12.1.0 sürümleriyle kullanıma sunulmuştu; yani açıkların kamuoyuna duyurulmasından 32 gün önce.

Kritik Açıkların Kapsamı ve Teknik Detaylar​

Beş kritik açığın üçü CVSS ölçeğinde 9,9, diğer ikisi ise 9,6 puan aldı. Her birinde saldırganın sunucu üzerinde önceden bir yetkiye ya da kod çalıştırma yoluna sahip olması gerekiyor. Bunlardan ikisi MarkLogic'in "forest" kavramıyla ilgili: MarkLogic'te forest, bir veritabanına bağlı belge koleksiyonunu ifade ediyor.
CVE-2026-85947 (CVSS 9,9): Forest yönetimi ayrıcalıklarına sahip bir hesap, kalıcı bir yönetici hesabı oluşturarak sunucunun tamamı üzerinde idari denetim kazanabiliyor. Yamanın içeriğine göre artık bir forest'ı istenen veritabanına bağlamak için yalnızca "forest kapsamlı idari izin" yeterli değil. Progress, müşterilerine yükseltme öncesinde delege edilmiş forest ve veritabanı ayrıcalık atamalarını gözden geçirmelerini ve xdmp-eval-in rollerini denetlemelerini tavsiye ediyor.
CVE-2026-85948 (CVSS 9,9): Kullanıcı yönetimi düzeyinde yetkiye sahip bir hesap, kullanımdan kaldırılmış bir Yönetim API yolundaki XQuery enjeksiyon açığı aracılığıyla kalıcı yönetici kontrolü elde edebiliyor.
CVE-2026-85955 (CVSS 9,9): Sorgu çalıştırma erişimi ve xdmp-eval-in ayrıcalığı olan bir hesap, sunucu tarafında yükseltilmiş izinlerle kod çalıştırabiliyor.
CVE-2026-85956 (CVSS 9,6): Delege edilmiş veritabanı yöneticisi ayrıcalıklarına sahip bir hesap, kendi veritabanı dışındaki forest'ları yedekleyip geri yükleyerek Progress'in "güvenlik açısından kritik veri" olarak nitelendirdiği bilgilere erişebiliyor veya bunları değiştirebiliyor.
CVE-2026-9191 (CVSS 9,6): Belirli REST ve XDBC değerlendirme yolları üzerinden kod çalıştırma yeteneği olan bir saldırgan, yetkisiz işlemler gerçekleştirebiliyor ya da kimliği doğrulanmış bir oturumu ele geçirebiliyor.
Beş kritik açığın dördü Bugcrowd platformu üzerinden bağımsız araştırmacılar tarafından bildirildi. "rexnets" takma adını kullanan araştırmacı CVE-2026-85947, CVE-2026-85948 ve CVE-2026-85956'yı; "WaltWhitehat" takma adını kullanan araştırmacı ise CVE-2026-9191'i raporladı.

Yapılandırmaya Bağlı Diğer Açıklar​

Geri kalan 26 açığın 24'ü yüksek, ikisi ise orta önem derecesinde değerlendirildi. CVSS puanı 8,6 olan CVE-2026-85954, belirli XQuery işlevlerine değer geçirerek hesaba tanınanın ötesinde ayrıcalık kazanılmasına izin verebiliyor.
Bazı açıklar yalnızca belirli özellik veya platformların kullanıldığı ortamlarda geçerli:

• SAML: SAML kimlik doğrulaması kullanan ortamlarda kimliği doğrulanmamış bir uzak saldırgan, sunucunun reddetmesi gereken bir onayı kabul ettirmesini sağlayabiliyor (CVE-2026-85962). 11.x sürümünde SAML ayrıştırıcısı harici DTD veya varlıkları da işleyebiliyor (CVE-2026-85957).
• OAuth: Bir saldırgan, sunucunun kabul etmemesi gereken bir token kullanabiliyor (CVE-2026-85958). Yama, Ping Identity ve diğer OAuth yapılandırmaları için yayıncı ve kitle denetimleri ekliyor.
• Parola tabanlı Kerberos: Belirli yapılandırmalarda ağda konumlanmış bir saldırgan, Kerberos kimlik doğrulama servisini taklit edebiliyor (CVE-2026-85972).
• Bulut barındırma: Kimliği doğrulanmış bir saldırgan, Azure ortamında (CVE-2026-85951) ve Linux tabanlı bulut dağıtımlarında (CVE-2026-85952) iç bulut hizmetlerine erişip bulut kimlik bilgilerini ele geçirebiliyor.
• Tanılama günlükleri: Belirli yapılandırmalarda sunucu, güvenlik açısından hassas bilgileri tanılama günlüklerine yazabiliyor (CVE-2026-85949 ve Azure'da CVE-2026-85961). Etkilenen IAM izleme yolu etkinleştirildiğinde AWS gizli anahtarları ve oturum token'ları düz metin olarak kaydediliyordu.
• Amazon S3: S3 bağlantıları varsayılan olarak şifresiz iletişim kullanabiliyordu (CVE-2026-85975).
• Query Console: Oturum açmış bir Query Console kullanıcısını kötü amaçlı bir sayfa açmaya yönlendiren uzak saldırgan, o kullanıcının izinleriyle sunucu tarafında kod çalıştırabiliyor (CVE-2026-85960). Ayrıca kimliği doğrulanmış bir Query Console kullanıcısı, sunucudaki rastgele dosyaları okuyabiliyor (CVE-2026-85964).
• Eski bileşenler: Kullanımdan kaldırılmış OpsDirector özelliği, kimliği doğrulanmamış bir uzak saldırganın iç servislere istek göndermesine veya güvenilir istekleri taklit etmesine olanak tanıyabiliyor (CVE-2026-85963). Eski InfoStudio modülleri de sunucu dosyalarına erişim sağlayabiliyor (CVE-2026-85953).

\n
Bunların yanı sıra üç bellek güvenliği açığı, bir siteler arası betik çalıştırma (XSS) açığı, Query Console'da HTTP yanıt bölme sorunu, bazı giden bağlantılarda tutarsız TLS ana bilgisayar adı denetimleri ve 12.x sürümünde şifresiz küme yönetimi trafiği de açıklanan sorunlar arasında yer alıyor.

Yükseltme Notları ve Dikkat Edilmesi Gereken Değişiklikler​

Progress, müşterilerin yükseltme öncesinde 11.3.7 ve 12.1.0 için hazırlanan yükseltme notlarını ve bilinen uyumsuzluk listelerini incelemesini tavsiye ediyor. 11.3.7 notları 22, 12.1.0 notları ise 21 açıkla ilgili davranış değişikliklerini belgeliyor.
Mevcut kodu, araçları veya otomasyonu etkileyebilecek başlıca değişiklikler şunlar:

• mlcp: MarkLogic Content Pump'ın eski sürümleri yeni sürümlere karşı XDMP-ISOLATED hatasıyla başarısız oluyor. Progress, mlcp 11.3.7 veya 12.1.0 kullanımını öneriyor.
• Kaldırılan özellikler: /manage/v2/packages API'si, InfoStudio ve OpsDirector tamamen kaldırıldı.
• Yeni varsayılanlar: XML harici varlık işleme varsayılan olarak kapalı; S3 bağlantıları varsayılan olarak HTTPS kullanıyor; yeni ve döndürülen ErrorLog.txt ile AuditLog.txt dosyaları artık 0666 yerine 0640 moduyla oluşturuluyor.
• Ayrıcalıklar: xdmp:eval-in() artık hem xdmp-eval-in hem de xdmp-eval ayrıcalıklarını gerektiriyor. Yetkilendirme başlıklarını okumak için hiçbir yerleşik rolün sahip olmadığı yeni bir ayrıcalık gerekiyor.
• Depolanan sırlar: FlexRep yapılandırma yanıtları artık saklanan parolaları, istemci özel anahtarlarını veya parola ifadelerini döndürmüyor.
• Platform: MarkLogic 11.3.7, Amazon Linux 2'yi desteklemiyor.
• Ad çakışmaları: Küme, yeni bilet sistemi tarafından kullanılan beş addan biriyle örtüşen bir rol, kullanıcı veya ayrıcalık içeriyorsa yükseltme başarısız olabiliyor.

\n
Yükseltme sonrasında bazı sorunlar varlığını sürdürüyor. Mevcut ErrorLog.txt ve AuditLog.txt dosyaları döndürülene veya yeniden oluşturulana kadar eski izinlerini koruyor. Kerberos yaması için bir keytab gerekiyor; aksi takdirde sunucu bir uyarı kaydedip yeni denetimi atlıyor. CVE-2026-85959 kapsamında, başarılı girişlerin denetim günlüğüne her zaman kaydedilmediği belirlendi; Progress bu durumun yetkisiz erişim veya kimlik bilgisi kötüye kullanımının tespit edilip araştırılma kapasitesini sınırlayabileceğini belirtiyor. CVE kayıtları ve yükseltme notları, yükseltme öncesinde CVE-2026-85947 aracılığıyla oluşturulmuş bir yönetici hesabının yükseltmeyle birlikte kaldırılıp kaldırılmadığını açıklamıyor.

Ağustos'tan Bu Yana İkinci Büyük Açıklama Dalgası​

31 açık, Progress'in MarkLogic için 68 gün içinde yaptığı ikinci toplu açıklamayı oluşturuyor. Şirket 5 Ağustos'ta 10 açığı kamuoyuyla paylaşmıştı; bunların yedisi kritik olarak derecelendirilmişti. O seride yer alan CVE-2026-9192 (CVSS 9,8), kimliği doğrulanmamış bir uzak saldırganın ODBC App Server üzerindeki parola doğrulamasını atlamasına izin veriyordu. Ağustos serisi için yamalar 1 ve 6 Temmuz'da, CVE kayıtlarının yayımlanmasından 35 ve 30 gün önce gönderilmişti. Bu kez aradaki fark 32 gün oldu.
The Hacker News'in 13 Ekim'de ABD Ulusal Güvenlik Açığı Veritabanı'nda (NVD) yaptığı aramada MarkLogic'i kapsayan 49 CVE kaydına ulaşıldı; bunların 41'i bu iki toplu açıklamadan oluşuyor. Geriye kalan sekiz kayıt ise MarkLogic 8.0-6 tarafından kullanılan üçüncü taraf bir bileşen olan Antenna House DMC HTMLFilter için 2017 ve 2018 yıllarında oluşturulmuş. Daha önceki MarkLogic sürümleri de güvenlik yamaları içeriyordu: 11.3.1, 11.3.2 ve 11.3.4 sürüm notları "güvenlik açıklarına yönelik yamalar" içerdiğini belirtiyor ancak sunucunun kendi koduna ilişkin herhangi bir CVE numarası vermiyordu.
The Hacker News'in 13 Ekim itibarıyla yaptığı kontrolde 31 açığın hiçbiri ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyordu. CVE kayıtları ve yükseltme notları, henüz yükseltme yapamayan müşteriler için herhangi bir geçici çözüm sunmuyor.

Sıkça Sorulan Sorular​

MarkLogic 11.3.7 ve 12.1.0 sürümleri ne zaman yayımlandı?​

Her iki sürüm de 10 Eylül'de kullanıma sunuldu. Bu tarih, Progress'in 31 açığı kamuoyuyla paylaştığı 12 Ekim'den 32 gün öncesine denk geliyor.

Ağustos'ta yayımlanan yamaları yüklemek yeni açıklara karşı koruma sağlıyor mu?​

Hayır. Ağustos açıkları için yayımlanan yamalar 11.3.6 ve 12.0.3 sürümlerinde yer alıyordu; ancak her iki sürüm de yeni açıklardan etkileniyor. Koruma için 11.3.7 veya 12.1.0'a yükseltme yapılması gerekiyor.

31 açıktan herhangi biri gerçek saldırılarda kullanıldı mı?​

Progress'in CVE kayıtları ve yükseltme notları, açıklardan herhangi birinin saldırılarda kullanıldığını belirtmiyor. The Hacker News'in 13 Ekim'de yaptığı kontrolde hiçbiri CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyordu.

CVE-2026-85947 aracılığıyla yükseltme öncesinde oluşturulan yönetici hesapları yükseltmeyle birlikte kaldırılıyor mu?​

Progress'in CVE kayıtları ve yükseltme notları bu soruyu yanıtlamıyor; yükseltmenin söz konusu hesapları otomatik olarak kaldırıp kaldırmadığı belirtilmiyor.

Yükseltme yapamayan müşteriler için önerilen geçici bir çözüm var mı?​

Hayır. Progress'in CVE kayıtları ve yükseltme notları, henüz yükseltme yapamayan müşteriler için herhangi bir geçici çözüm sunmuyor.