Progress corrige 31 failles MarkLogic, dont cinq critiques, qui menacent le contrôle administrateur du serveur.

Progress Software a publié le 12 octobre une série de 31 failles MarkLogic touchant son serveur de base de données MarkLogic Server. L’éditeur en juge cinq critiques. Parmi elles, deux retiennent particulièrement l’attention. Elles pourraient permettre à un compte disposant seulement de certains droits de gestion de prendre le contrôle administrateur du serveur.

Les correctifs, eux, existent déjà. Ils sont disponibles depuis le 10 septembre dans MarkLogic 11.3.7 et MarkLogic 12.1.0. Les équipes concernées ont donc une marge d’action immédiate.

Ce que révèle la publication de Progress

Le bulletin regroupe 31 vulnérabilités au total. Cinq d’entre elles reçoivent un score critique. Ce volume est important pour un seul produit. Il justifie une revue sérieuse, même si toutes les failles n’ont pas la même gravité.

Un point de calendrier mérite d’être souligné. Les versions corrigées sont sorties le 10 septembre, soit plus d’un mois avant la divulgation publique du 12 octobre. Cette pratique est courante. Elle laisse aux clients le temps d’appliquer les mises à jour avant que les détails ne circulent.

Cependant, la publication change la donne. Une fois les failles décrites, des attaquants peuvent analyser les correctifs et chercher à les exploiter. Par conséquent, les serveurs non mis à jour deviennent des cibles plus évidentes.

Deux failles MarkLogic pour devenir administrateur

Les deux vulnérabilités les plus sensibles concernent la délégation de droits. Dans une organisation, il est fréquent de confier à certains comptes une partie seulement des tâches de gestion. Ces comptes ne sont pas des administrateurs complets. Ils gèrent, par exemple, une portion de la configuration.

Or, selon Progress, ces deux failles pourraient permettre à un tel compte d’aller bien plus loin. Il pourrait obtenir le contrôle administrateur du serveur. Autrement dit, une délégation limitée risque de devenir un accès total.

Le titre d’origine de cette affaire évoque un contrôle administrateur persistant. Cette notion est préoccupante. Un attaquant qui devient administrateur peut en effet modifier la configuration, créer d’autres comptes ou consulter des données. Il peut aussi s’installer durablement dans l’environnement.

Il faut toutefois rester prudent. Les informations disponibles ne précisent pas d’exploitation active. Elles ne détaillent pas non plus les conditions techniques exactes d’une attaque. Il ne faut donc pas extrapoler au-delà de ce que l’éditeur indique.

Qui doit s’inquiéter et pourquoi

Le scénario le plus concerné est celui d’un compte à privilèges partiels. Ce peut être un compte légitime, mais mal surveillé. Ce peut aussi être un compte compromis par hameçonnage ou par vol d’identifiants. Dans les deux cas, l’élévation de privilèges transforme un incident limité en compromission majeure.

Les bases de données hébergent souvent des informations sensibles. Un contrôle administrateur donne donc un accès très étendu. C’est pourquoi les failles d’élévation de privilèges sont prises au sérieux, même quand elles exigent un compte authentifié.

Par ailleurs, la délégation de gestion est un principe de bonne pratique. Elle applique le moindre privilège. Si ce mécanisme peut être contourné, il perd une partie de son intérêt. Les équipes doivent alors s’appuyer davantage sur la mise à jour rapide et la surveillance.

Ce qu’il faut retenir : recommandations

Les administrateurs de serveurs MarkLogic devraient agir sans attendre. Voici les priorités à envisager :

• Mettre à jour vers MarkLogic 11.3.7 ou MarkLogic 12.1.0, versions qui contiennent les correctifs.
• Inventorier les comptes disposant de privilèges de gestion partiels, puis supprimer ceux qui ne sont plus nécessaires.
• Contrôler les journaux d’activité pour repérer des changements de droits ou des créations de comptes inhabituels.
• Renforcer l’authentification des comptes de gestion, notamment par des mots de passe robustes et une rotation régulière.
• Limiter l’exposition des interfaces d’administration aux seuls réseaux de confiance.

En outre, il convient de consulter le bulletin complet de Progress. Il liste les 31 vulnérabilités et précise les versions concernées. Chaque équipe pourra ainsi évaluer son niveau d’exposition réel.

Enfin, cette affaire rappelle une règle simple. Un correctif disponible depuis septembre ne protège que s’il est déployé. Les organisations qui exploitent MarkLogic Server ont donc intérêt à traiter cette mise à jour comme une priorité.

Source : Two Critical MarkLogic Flaws Could Give Delegated Managers Persistent Admin Control