Progress divulga fallas críticas en MarkLogic Server y recomienda actualizar

Progress publicó el 12 de octubre un aviso de seguridad sobre vulnerabilidades críticas y de alta gravedad en MarkLogic Server. Los problemas abarcan, entre otros componentes, la gestión de privilegios, la validación de sesiones y el tratamiento de solicitudes. Su impacto depende de la función utilizada y de la configuración de cada instalación: podría incluir acciones administrativas no autorizadas, acceso o modificación de datos, exposición de credenciales y ejecución de código. (community.progress.com)

El aviso identifica como afectadas las versiones 12.0 a 12.0.3 y 11.0 a 11.3.6, con diferencias de alcance entre vulnerabilidades. Progress recomienda pasar a 12.1 o 11.3.7, respectivamente. Las versiones 10 y anteriores están retiradas: no formaron parte de la evaluación completa ni reciben estas correcciones. Medios especializados coinciden en que el aviso reúne 31 vulnerabilidades divulgadas el 12 de octubre, aunque las versiones que las corrigen estaban disponibles desde septiembre. (community.progress.com)

Para una empresa, el primer paso es inventariar los servidores MarkLogic y comprobar qué funciones, integraciones y permisos delegados utiliza cada uno. Algunas de las fallas críticas descritas requieren privilegios previos; no corresponde asumir que todas permiten entrar desde internet sin credenciales. Aun así, un permiso limitado que pueda escalar a control administrativo merece atención prioritaria, especialmente en entornos que almacenan información sensible. (thehackernews.com)

Planifica la actualización con una prueba de compatibilidad y respaldo, y revisa los roles administrativos y las integraciones tras instalarla. Progress advierte que una instancia afectada puede seguir funcionando normalmente y que la ausencia de señales en los registros no demuestra que no haya existido explotación. El aviso, por sí mismo, no confirma ataques activos contra estas fallas. (community.progress.com)