CVE-2026-85975: Cleartext-передача данных в подключениях Progress MarkLogic Server к Amazon S3
В Progress MarkLogic Server 12.x до 12.1.0 и 11.x до 11.3.7 подключения к Amazon S3 по умолчанию могут использовать незашифрованный транспорт. Атакующий, находящийся в сети, способен перехватить передаваемые данные или учётные данные. Уязвимость получила оценку CVSS 7.5 (HIGH).
Подробности
Уязвимости подвержены релизы Progress MarkLogic Server ветки 12.x до версии 12.1.0 и ветки 11.x до версии 11.3.7. Согласно описанию CVE, затронутые версии могут по умолчанию использовать cleartext-транспорт для соединений с Amazon S3. Это означает, что данные и учётные данные, передаваемые в рамках такого соединения, не защищены шифрованием. Атакующий, занимающий позицию в сети (network-positioned attacker), способен перехватить этот трафик и получить доступ к передаваемым данным или учётным данным. Уязвимости присвоена базовая оценка CVSS 7.5, что соответствует высокому уровню опасности. Наличие такой уязвимости в инфраструктуре, обрабатывающей корпоративные данные, требует оперативного реагирования.Что делать
Основная рекомендация — обновить Progress MarkLogic Server до исправленных версий: 12.1.0 или выше для ветки 12.x и 11.3.7 или выше для ветки 11.x. Обновление устраняет небезопасное поведение по умолчанию. Если немедленное обновление невозможно, следует рассмотреть компенсирующие меры. К ним относится ограничение сетевого доступа к S3-эндпоинтам, использование защищённых каналов связи и сегментация сетевой инфраструктуры, чтобы снизить вероятность перехвата трафика. Также рекомендуется проверить конфигурацию подключений к Amazon S3 и убедиться, что передача данных защищена. Дополнительно стоит проанализировать логи и активность соединений с S3 на предмет подозрительного доступа, а также оценить, какие учётные данные могли использоваться в незашифрованных подключениях, и при необходимости провести их ротацию. Итог: CVE-2026-85975 — уязвимость высокого уровня опасности, связанная с передачей данных в открытом виде при подключении MarkLogic Server к Amazon S3. Администраторам следует приоритизировать обновление до актуальных версий и проверить настройки сетевого взаимодействия с облачными хранилищами.Источник: CVE Project (cvelistV5)