Уязвимость CVE-2026-85974 в Progress MarkLogic Server: некорректная проверка имени хоста TLS
В Progress MarkLogic Server обнаружена уязвимость CVE-2026-85974, связанная с некорректной проверкой имени хоста в TLS-сертификатах при исходящих соединениях. Под угрозой — серверы серий 12.x до 12.1.0 и 11.x до 11.3.7. Уязвимости присвоен высокий уровень критичности (CVSS 7.4), поскольку атакующий, находящийся в сети, может перехватывать или изменять трафик.
Подробности
Уязвимость получила идентификатор CVE-2026-85974 и оценку CVSS 7.4 (HIGH). Согласно описанию, MarkLogic Server не выполняет последовательную проверку имени хоста в TLS-сертификатах для определённых типов исходящих соединений. Это означает, что при подключении к внешним сервисам сервер может принять сертификат, выданный для другого домена, и установить защищённое соединение с некорректным или поддельным узлом. Уязвимы следующие версии продукта: - все релизы ветки 12.x до 12.1.0; - все релизы ветки 11.x до 11.3.7. Эксплуатация возможна со стороны атакующего, занимающего позицию в сети (network-positioned attacker) — например, при нахождении в том же сегменте сети или при контроле над промежуточным узлом. Успешная атака позволяет перехватывать и модифицировать данные, передаваемые между MarkLogic Server и внешними системами, что может привести к утечке конфиденциальной информации или компрометации целостности данных. Прямое удалённое выполнение кода в описании не заявлено, однако последствия перехвата трафика могут быть существенными в зависимости от архитектуры конкретной инсталляции. Стоит отметить, что корректная проверка имени хоста — базовый элемент защиты TLS. Её отсутствие или неполнота сводят на нет гарантии аутентификации сервера, которые обеспечивает протокол.Что делать
Рекомендуется в первую очередь обновить MarkLogic Server до актуальных версий: - для ветки 12.x — до 12.1.0 или выше; - для ветки 11.x — до 11.3.7 или выше. Если немедленное обновление невозможно, следует рассмотреть компенсирующие меры: - ограничить сетевой доступ к серверу и от него, чтобы снизить вероятность нахождения атакующего в позиции для перехвата трафика; - применять сегментацию сети и защищённые каналы для исходящих соединений; - использовать средства мониторинга и обнаружения аномалий в сетевом трафике (IDS/IPS); - по возможности проверять подлинность внешних узлов на стороне инфраструктуры (например, через доверенные прокси или шлюзы). Перед применением митигаций необходимо провести оценку рисков с учётом специфики конкретной инфраструктуры и требований регуляторов. Итог: CVE-2026-85974 — серьёзная уязвимость уровня HIGH, затрагивающая TLS-проверку в Progress MarkLogic Server. Организациям, использующим затронутые версии, следует как можно скорее установить обновления или внедрить компенсирующие меры контроля, чтобы исключить риск перехвата и модификации исходящего трафика.Источник: CVE Project (cvelistV5)