🇰🇷 한글 설명
Progress MarkLogic Server의 Hadoop 연동 기능에서 권한 관리가 부적절하여, 낮은 권한의 Hadoop 역할을 가진 인증된 사용자가 권한을 상승시키고 Security 데이터베이스에 대한 특권 작업을 실행할 수 있습니다. 해당 취약점은 CVSS 9.9의 심각도로 평가됩니다.
💡 쉬운 설명
일반 사용자 권한만 가진 계정으로도 MarkLogic 서버의 보안 설정을 관리하는 영역에 접근할 수 있습니다. 공격자가 이를 악용하면 서버 전체를 장악할 수 있습니다.
🇺🇸 원문 (English)
An improper privilege management vulnerability in the Hadoop integration of Progress MarkLogic Server before 11.3.6 and 12.0.3 allows an authenticated user with a low-privileged Hadoop role to escalate privileges and execute privileged operations against the Security database.
📍 영향받는 시스템
Progress MarkLogic Server 11.3.6 미만 및 12.0.3 미만 버전
⚔️ 공격 벡터
낮은 권한의 Hadoop 역할을 가진 인증된 사용자가 권한 상승을 통해 Security 데이터베이스에 특권 작업을 수행
🛡️ 대응 방법
MarkLogic Server를 11.3.6 이상 또는 12.0.3 이상으로 업데이트하고, Hadoop 역할 권한을 최소한으로 재검토
🔧 검증 코드
출력된 버전이 11.3.6 또는 12.0.3 미만이면 취약하며, 해당 이상이면 패치가 적용된 것입니다.
/opt/MarkLogic/bin/MarkLogic --version 2>/dev/null || cat /opt/MarkLogic/version.txt 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Multi-Domain Security Management Server