Descripción
Las versiones 12.x anteriores a 12.1.0 y 11.x anteriores a 11.3.7 de Progress MarkLogic Server permiten que un atacante remoto con privilegios delegados de administrador de bases de datos realice operaciones de respaldo o restauración en forests fuera del alcance de la base de datos autorizada, lo que podría resultar en acceso no autorizado a datos críticos para la seguridad o en su modificación.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- MarkLogic Server Afectadas: 11.0.0 y anteriores a 11.3.7 · 12.0.0 y anteriores a 12.1.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantecommunity.progress.com/s/article/Marklogic-Critical-Security-Alert-Bu…
Ver el texto original en inglés (CVE.org)
Improper privilege management in Progress MarkLogic Server backup and restore operations
Progress MarkLogic Server 12.x releases before 12.1.0 and 11.x releases before 11.3.7 allow a remote attacker with delegated database-administrator privileges to perform backup or restore operations on forests outside the authorized database scope, which could result in unauthorized access to or modification of security-critical data.