Sicherheitsupdates des Servers prüfen

SetFN-Updates enthalten die Sicherheitskorrekturen für das SetFN-Serverprogramm und die darin enthaltenen Bibliotheken. Das Betriebssystem, auf dem SetFN läuft, und die externen Programme, die SetFN für Dokumentvorschau, Konvertierung und Texterkennung (OCR) aufruft, muss der Serverbetreiber selbst aktualisieren.

Dieses Dokument erläutert auf Grundlage der KISA-Sicherheitshinweise und der Prüfergebnisse zu wichtigen Schwachstellen (CVE), welche Punkte Betreiber prüfen sollten und mit welchen Befehlen. Die Beispiele beziehen sich auf Ubuntu 24.04 LTS.

Bevor Sie beginnen

• Sie müssen sich mit einem Konto am Server anmelden, das sudo-Rechte hat.
• Nach einem Kernel-Update muss der Server neu gestartet werden, damit es wirksam wird. Planen Sie die Arbeiten für eine Zeit mit wenigen Benutzern.

Betriebssystempakete aktualisieren

1. Aktualisieren Sie im Terminal die Paketliste und installieren Sie die Sicherheitsupdates.

   sudo apt update
   sudo apt upgrade
   

2. Prüfen Sie, ob ein Neustart erforderlich ist. Wenn die Datei vorhanden ist, ist ein Neustart erforderlich.

   ls /var/run/reboot-required
   

3. Prüfen Sie nach dem Neustart, ob SetFN ordnungsgemäß läuft.

Für die folgenden Komponenten hat die KISA seit 2025 Sicherheitsupdates empfohlen. Sie werden mit den obigen Befehlen mit aktualisiert.

Dokumentverarbeitungsprogramme prüfen

SetFN verwendet die folgenden Programme für Vorschau, Konvertierung und Texterkennung der von Benutzern hochgeladenen Dateien. Da diese Programme von außen erhaltene Dateien direkt lesen, sollten Sie ihre Sicherheitsupdates nicht aufschieben.

Sicherheitskorrekturen für universe-Pakete über Ubuntu Pro erhalten

Unter Ubuntu 24.04 sind LibreOffice, Poppler und libheif Pakete aus dem Repository main, deren Sicherheitskorrekturen mit sudo apt upgrade installiert werden. libvips, Tesseract, MuPDF, Pandoc, ImageMagick und FFmpeg sind Pakete aus dem Repository universe. Die Korrekturen für die seit 2025 veröffentlichten Schwachstellen dieser Pakete mit Schweregrad Hoch (High) oder höher wurden ausschließlich über esm-apps von Ubuntu Pro bereitgestellt.

Wenn Sie diese Programme verwenden, verbinden Sie den Server mit Ubuntu Pro.

1. Fordern Sie bei Ubuntu Pro ein Token an.
2. Führen Sie auf dem Server die folgenden Befehle aus.

   sudo pro attach <Token>
   sudo pro enable esm-apps
   sudo apt update
   sudo apt upgrade
   

3. Prüfen Sie mit pro status, ob esm-apps als enabled angezeigt wird.

Nicht benötigte Dokumentverarbeitungsprogramme reduzieren

• MuPDF (mupdf-tools): Wenn Poppler (poppler-utils) installiert ist, verwendet SetFN MuPDF nicht. MuPDF hat eine Schwachstelle (CVE-2026-3308), die unter Ubuntu 24.04 noch nicht behoben ist; wir empfehlen daher, es nicht zu installieren. Wenn es bereits installiert ist, können Sie es mit sudo apt remove mupdf-tools entfernen.
• ImageMagick, FFmpeg: Sind sie nicht installiert, verzichtet SetFN lediglich auf die betreffenden Konvertierungen und die Video-Vorschaubilder. Wenn Sie diese Funktionen nicht benötigen, installieren Sie die Programme nicht.
• FFmpeg 8.x: Wenn Sie FFmpeg selbst gebaut oder aus einem separaten Repository installiert haben, aktualisieren Sie auf 8.0.3 oder 8.1.2 oder höher (CVE-2026-8461).

Java-Verwendung in LibreOffice

Für LibreOffice wurde eine Schwachstelle (CVE-2026-63277) gemeldet, bei der externe Datenverbindungen in einem Dokument einen entfernten Java-Treiber laden können; im Ubuntu-24.04-Paket ist die Korrektur noch nicht enthalten (Stand 2026-10-23). SetFN legt bei jeder Dokumentkonvertierung ein neues LibreOffice-Profil an und deaktiviert darin Makros und die Aktualisierung externer Links. Ab dem Update, das die Korrekturen der Prüfung vom 2026-10-23 enthält, wird in diesem Profil auch Java deaktiviert. Wenn Sie Java nicht für andere Zwecke benötigen, können Sie das Risiko weiter verringern, indem Sie die Java-Laufzeitumgebung vom Server entfernen.

Beim Betrieb mit Docker prüfen

Wenn Sie SetFN mit Docker betreiben, prüfen Sie, ob mindestens die folgenden Versionen installiert sind.

Bei Verwendung eines Reverse-Proxys prüfen

Wenn Sie SetFN einen Reverse-Proxy wie nginx vorschalten, der HTTPS übernimmt, muss auch der Reverse-Proxy Sicherheitsupdates erhalten.

• Für nginx Open Source wird Version 1.30.4 oder 1.31.3 oder höher empfohlen. Bei Distributionspaketen kommen die Korrekturen mit den Sicherheitsupdates der Distribution.
• Für Webserver mit aktiviertem HTTP/2 wurde ein Angriff gemeldet, der übermäßigen Speicherverbrauch verursacht (CVE-2026-49975). Spielen Sie die korrigierte Version des von Ihnen verwendeten Webservers ein.
• Wenn Sie HTTPS mit einem öffentlich anerkannten Zertifikat betreiben, aktivieren Sie auf dem Reverse-Proxy den HSTS-Header (Strict-Transport-Security). Der SetFN-Server sendet HSTS nicht selbst, damit der Zugriff bei Installationen im internen Netzwerk mit selbstsignierten Zertifikaten nicht blockiert wird.

Bei Verwendung lokaler KI (Ollama) prüfen

Wenn Sie auf demselben Server wie SetFN lokale KI-Modelle mit Ollama ausführen, prüfen Sie Folgendes.

1. Prüfen Sie die Version mit ollama --version und aktualisieren Sie auf 0.17.1 oder höher (CVE-2026-7482).
2. Prüfen Sie, ob die Ollama-API nicht nach außen geöffnet ist. Wenn Sie Ollama nur auf demselben Server wie SetFN verwenden, setzen Sie OLLAMA_HOST nicht auf 0.0.0.0.
3. Wenn Ollama von einem anderen Server aus erreichbar sein muss, lassen Sie in der Firewall nur die Adresse des SetFN-Servers zu.

Schlüssel der Zwei-Faktor-Authentifizierung für Administratoren sichern

Server, die die Zwei-Faktor-Authentifizierung für Administratoren verwenden, speichern den Verschlüsselungsschlüssel für die Authentifizierungsdaten im Konfigurationsordner unter secrets/admin-mfa/. Kopieren Sie diesen Ordner mit, wenn Sie den Server sichern oder umziehen. Fehlt dieser Schlüssel auf dem wiederhergestellten Server, schlägt die Zwei-Faktor-Prüfung aller Administratoren fehl; dann müssen Sie die Zwei-Faktor-Authentifizierung jedes Administrators mit dem Befehl user mfa reset zurücksetzen und neu einrichten. Einzelheiten finden Sie unter Zwei-Faktor-Authentifizierung für Administratoren einrichten.

Bei Verwendung einer externen KI-Anbindung prüfen

Wenn eine externe KI-Anbindung (AP-Bridge) /api/ai-proxy von SetFN aufruft, setzen Sie auf dem SetFN-Server und im Anbindungsprogramm denselben Wert für SETFN_AI_PROXY_TOKEN als Umgebungsvariable. Ab den Versionen nach der Sicherheitsprüfung vom 2026-10-23 lässt sich dieser Pfad ohne Token nicht mehr allein über Anfragen vom selben Server verwenden.

Hinweise

• Sicherheitsprobleme, die SetFN direkt betreffen, werden mit SetFN-Updates behoben. Halten Sie auch SetFN auf der aktuellen Version.
• Ob ein Hinweis SetFN betrifft und wie der Prüfstatus ist, sehen Sie unter Prüfstatus wichtiger Schwachstellen.
• Wenn Sie den Zugriff auf die Administrationsseite auf bestimmte IP-Adressen beschränken, verringern Sie das Risiko externer Angriffe weiter. Siehe IP-Zugriffsbeschränkung.

Verwandte Dokumente

• Sicherheitsprüfungen und Update-Verfahren kennenlernen
• Prüfstatus wichtiger Schwachstellen
• Installation unter Linux