'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
Prüfstatus wichtiger Schwachstellen
Dieses Dokument zeigt, ob die seit 2025 veröffentlichten wichtigen Schwachstellen (CVE) und die Sicherheitshinweise der KISA (Korea Internet & Security Agency, Portal Boho-nara) SetFN betreffen und ob Prüfung und Maßnahmen abgeschlossen sind. Es wird bei jeder neuen Prüfung aktualisiert; das Prüfdatum steht über jeder Tabelle.
Statuskennzeichnungen
| Status | Bedeutung |
|---|---|
Behoben | Die Korrektur ist in einer bereits ausgelieferten SetFN-Version enthalten. |
Behoben (Auslieferung folgt) | Korrektur und Verifizierung sind abgeschlossen; sie ist im nächsten SetFN-Update enthalten. |
In Bearbeitung | Die Ursache ist bekannt und wird behoben. |
Verbesserung geplant | Eine Funktionsverbesserung zur Risikominderung ist geplant. |
Nicht betroffen | SetFN verwendet die betreffende Komponente oder Funktion nicht, oder es gibt keinen betroffenen Pfad. |
Betreibermaßnahme erforderlich | Der Betreiber muss das Betriebssystem oder externe Programme des Servers aktualisieren, auf dem SetFN installiert ist. |
SetFN-Serverbibliotheken
Prüfdatum: 2026-10-23. Mit der offiziellen Go-Schwachstellendatenbank (govulncheck) wurden die Schwachstellen ermittelt, deren Code der SetFN-Server tatsächlich aufruft.
| Komponente | Schwachstelle | Inhalt | Status |
|---|---|---|---|
| Go-Standardbibliothek | GO-2026-6809 | Beschädigte Zwischenzertifikate werden nicht mehr als vertrauenswürdig behandelt | Behoben (Auslieferung folgt) Go 1.26.10 |
| golang.org/x/net | GO-2026-6617, 6612, 6611, 6603, 5030, 5029, 5028, 5027, 5025 | Absturz und Speichererschöpfung des HTTP/2-Servers, Fehler beim HTML-Parsen | Behoben (Auslieferung folgt) 0.60.0 |
| golang.org/x/image | GO-2026-6222, 5066, 5062, 5061, 5032, 5031, 4961, 4815 | Speichererschöpfung und Absturz beim Parsen von TIFF-, WebP- und BMP-Bildern | Behoben (Auslieferung folgt) 0.45.0 |
| excelize (Excel-Verarbeitung) | GO-2026-6689, 6688, 6685, 6684, 6453, 6452, 5960, 6695 | Speichererschöpfung und Absturz durch manipulierte Excel-Dateien | Behoben (Auslieferung folgt) |
| golang.org/x/text | GO-2026-6629, 5970 | Absturz und Endlosschleife durch manipulierte Eingaben | Behoben (Auslieferung folgt) 0.42.0 |
| gRPC | GO-2026-6348, 6061, 6443 | Speichererschöpfung im HTTP/2-Transport u. a. | Behoben (Auslieferung folgt) 1.83.2 |
| gorilla/websocket | GO-2026-6278 | Schwacher Zufallsgenerator bei der Erzeugung des Maskierungsschlüssels | Behoben (Auslieferung folgt) 1.5.3 |
| golang-jwt | GO-2025-3553, GO-2024-3250 | Übermäßiger Speicherverbrauch beim Parsen des Token-Headers, Fehlerbehandlung | Behoben (Auslieferung folgt) 4.5.2 |
| ulikunitz/xz | GO-2025-3922 | Speicherleck beim Entpacken beschädigter Archive | Behoben (Auslieferung folgt) 0.5.15 |
| klauspost/compress, edwards25519 | GO-2026-5841, 4503 | Fehler in Komprimierungs- und Signaturbibliothek (kein Aufrufpfad in SetFN) | Behoben (Auslieferung folgt) |
| mholt/archiver v3, nwaples/rardecode | GO-2025-3605, GO-2024-2698, GO-2025-4020 | Pfadmanipulation beim Entpacken u. a. Bibliotheken ohne korrigierte Version | Behoben (Auslieferung folgt) Bibliotheken entfernt und durch eigenes Archivmodul ersetzt |
| pion/dtls v2 | GO-2026-4479 | Fehler bei der Erzeugung kryptografischer Nonces. Keine korrigierte Version | Behoben (Auslieferung folgt) Durch Austausch der abhängigen Bibliothek entfernt |
Eine erneute Prüfung nach der Korrektur ergab keine bekannten Schwachstellen mehr in Code, den der SetFN-Server aufruft.
Weboberflächen-Bibliotheken
Prüfdatum: 2026-10-23. Die im Browser ausgeführten Bibliotheken wurden anhand der npm-Sicherheitshinweise geprüft. Bibliotheken, die nicht in der ausgelieferten Oberfläche enthalten sind (z. B. Build-Werkzeuge), wurden ausgenommen.
| Komponente | Inhalt | Status |
|---|---|---|
| prosemirror-view (Dokumenteditor) | Skriptausführung über eingefügtes HTML möglich | Behoben (Auslieferung folgt) 1.42.7 |
| pdf.js (PDF-Ansicht) | Skriptausführung über manipulierte PDF-Dateien möglich | Behoben (Auslieferung folgt) 6.4.299 |
| Tiptap (Dokumenteditor) | Übermäßige Laufzeit der Verarbeitung regulärer Ausdrücke bei bestimmten Eingaben | Behoben (Auslieferung folgt) 3.32.0 |
| markdown-it, linkify-it (Markdown-Ansicht) | Einfrieren der Oberfläche durch manipulierte Markdown-Dokumente | Behoben (Auslieferung folgt) 14.3.3, 5.0.2 |
| js-yaml (Parsen von Frontmatter) | Übermäßige Verarbeitungszeit durch manipuliertes YAML | Behoben (Auslieferung folgt) 4.3.2 |
| DOMPurify (HTML-Bereinigung) | Umgehung bei einer Option, die SetFN nicht verwendet | Behoben (Auslieferung folgt) 3.4.17 |
| @xmldom/xmldom (Hilfsbibliothek für die Videowiedergabe) | Fehler beim XML-Parsen | Behoben (Auslieferung folgt) 0.8.15 |
| TinyMCE 6 (E-Mail-Editor) | Skriptausführung über manipuliertes HTML möglich (4 Fälle nur in 7.x behoben) | Behoben (Auslieferung folgt) TinyMCE entfernt. Der Editor für Rundmails wurde durch Tiptap ersetzt (2026-10-24) |
| TinyMCE 6 (HTML-Dateieditor) | Wie oben | Behoben (Auslieferung folgt) TinyMCE entfernt. HTML-Dateien werden ausschließlich als Quellcode bearbeitet (2026-10-24) |
Externe Programme zur Dokumentverarbeitung
Prüfdatum: 2026-10-23. Schwachstellen mit Schweregrad Hoch (High, CVSS 7.0) oder höher seit 2025 in den Programmen, die SetFN für Vorschau, Konvertierung und Texterkennung aufruft, sowie der Korrekturstatus unter Ubuntu 24.04 LTS.
| Programm | High oder höher seit 2025 | Korrekturweg unter Ubuntu 24.04 | Maßnahme von SetFN | Status |
|---|---|---|---|---|
| LibreOffice | 7 | Paket in main, 1 nicht behoben (CVE-2026-63277) | Bei jeder Konvertierung wird ein neues Profil angelegt; Makros, Aktualisierung externer Links und Java sind deaktiviert | Behoben (Auslieferung folgt) Java-Sperre ergänzt, Betreibermaßnahme erforderlich Paketaktualisierung |
| MuPDF | 5 | universe, nicht behoben (CVE-2026-3308) | Wird nicht verwendet, wenn Poppler vorhanden ist. Empfehlung, es nicht zu installieren | Betreibermaßnahme erforderlich |
| libvips | 12 | universe, Korrekturen nur mit Ubuntu Pro | Begrenzung von Eingabegröße und Pixelzahl, Zeitlimit | Betreibermaßnahme erforderlich |
| ImageMagick | 90 | universe, Korrekturen nur mit Ubuntu Pro | Wird nur verwendet, wenn installiert | Betreibermaßnahme erforderlich |
| FFmpeg | ca. 53 | universe, Korrekturen nur mit Ubuntu Pro | Nur für Video-Vorschaubilder verwendet, zugelassene Protokolle eingeschränkt | Betreibermaßnahme erforderlich |
| Tesseract | 6 | universe, Korrekturen nur mit Ubuntu Pro | Benutzer können die OCR-Modelldateien nicht austauschen | Betreibermaßnahme erforderlich |
| Poppler | 2 | main, behoben | - | Betreibermaßnahme erforderlich Paketaktualisierung |
| libheif, libde265 | 23 | main, größtenteils behoben | Begrenzung der Eingabegröße | Betreibermaßnahme erforderlich Paketaktualisierung |
| Pandoc | 0 | - | - | Nicht betroffen |
| SQLite | 7 | main, behoben | Der SetFN-Server bettet SQLite in das Programm ein und ist daher vom Systempaket nicht betroffen | Nicht betroffen |
Die Aufgaben für Betreiber sind unter Sicherheitsupdates des Servers prüfen zusammengestellt.
Abgleich mit den KISA-Sicherheitshinweisen
Prüfdatum: 2026-10-23. Alle 463 Sicherheitshinweise, die vom 2025-01-01 bis zum 2026-10-22 im KISA-Portal Boho-nara veröffentlicht wurden, wurden geprüft.
- Hinweise, die das Produkt SetFN direkt betreffen: 0
- Hinweise, die je nach Betriebsumgebung relevant sind: 32
- Nicht betroffen: 431
Die je nach Betriebsumgebung relevanten Hinweise sind die folgenden.
| Komponente | Anzahl Hinweise | Beispielhafte Hinweise | Status |
|---|---|---|---|
| Linux-Kernel | 16 | Rechteausweitung, Speicherbeschädigung (CVE-2025-21756, CVE-2026-31431 u. a.) | Betreibermaßnahme erforderlich |
| sudo | 1 | Lokale Rechteausweitung (CVE-2025-32463) | Betreibermaßnahme erforderlich |
| OpenSSL | 2 | Pufferüberlauf, unzureichende Integritätsprüfung (CVE-2025-15467, CVE-2026-34182 u. a.) | Betreibermaßnahme erforderlich Das SetFN-Serverprogramm verwendet das System-OpenSSL nicht |
| snapd | 2 | Rechteausweitung (CVE-2026-3888, CVE-2026-8933) | Betreibermaßnahme erforderlich |
| GRUB2 | 1 | Speicherbeschädigung im Bootloader (CVE-2025-0678 u. a.) | Betreibermaßnahme erforderlich |
| FFmpeg | 1 | Schreiben außerhalb der Grenzen (CVE-2026-8461) | Betreibermaßnahme erforderlich |
| FreeType | 1 | Schreiben außerhalb der Grenzen (CVE-2025-27363) | Betreibermaßnahme erforderlich |
| Docker | 3 | Umgehung der Authentifizierung in der Engine (CVE-2026-34040) u. a. | Betreibermaßnahme erforderlich Bei Betrieb mit Docker |
| Ollama | 1 | Lesen außerhalb der Grenzen (CVE-2026-7482) | Betreibermaßnahme erforderlich Bei Verwendung lokaler KI |
| nginx und andere Webserver | 4 | Heap-Überlauf, übermäßige Speicherzuweisung bei HTTP/2 (CVE-2026-49975) | Betreibermaßnahme erforderlich Bei Verwendung eines Reverse-Proxys |
Der Hinweis zur HTTP/2-Dienstverweigerung (CVE-2025-8671, MadeYouReset) wurde als Nicht betroffen eingestuft, da laut offizieller Mitteilung des Go-Projekts keine Auswirkung besteht.
Selbstprüfung anhand der Sicherheitsstandards
Prüfdatum: 2026-10-23, aktualisiert am 2026-10-24. Auf Basis von OWASP Top 10:2025, OWASP ASVS 5.0, NIST SP 800-63B-4 und den KISA-Prüfpunkten für Web-Schwachstellen wurden 37 Punkte im Code geprüft. Ergebnis: 20 erfüllt, 11 teilweise erfüllt, 5 verbesserungsbedürftig, 1 nicht zutreffend.
| Punkt | Standard | Status |
|---|---|---|
| Zeitlimit für Serververbindungen (gegen Angriffe mit langsamen Verbindungen) | OWASP A02, KISA Dienstverweigerung | Behoben (Auslieferung folgt) |
| Sicherheits-Antwortheader (Clickjacking-Schutz, Sperre des MIME-Sniffing, Referrer-Policy, Permissions-Policy) | ASVS Web-Frontend | Behoben (Auslieferung folgt) |
| HTTPS erzwingen (HSTS) | ASVS Sichere Kommunikation, KISA Klartextübertragung von Daten | Betreibermaßnahme erforderlich Wird auf dem Reverse-Proxy aktiviert, der HTTPS übernimmt, damit der Zugriff in Umgebungen mit selbstsignierten Zertifikaten nicht blockiert wird |
| Sperre häufiger und aus Datenlecks bekannter Passwörter | NIST SP 800-63B-4 | Behoben (Auslieferung folgt) |
| Längenbasierte Richtlinie statt Zusammensetzungsregeln für Passwörter | NIST SP 800-63B-4 | Behoben (Auslieferung folgt) Standard für Neuinstallationen (mindestens 12 Zeichen, keine Kombinationsvorgaben). Bestehende Server behalten die aktuelle Regel |
| Serverseitige Durchsetzung der Passwortrichtlinie | NIST SP 800-63B-4, ASVS Authentifizierung | Verbesserung geplant |
| Zwei-Faktor-Authentifizierung für Administratoren (OTP usw.) | NIST SP 800-63B-4, ASVS Authentifizierung | Behoben (Auslieferung folgt) Authenticator-App (TOTP) mit Wiederherstellungscodes und Pflichtrichtlinie |
| Auditprotokoll für Änderungen an den Sicherheitseinstellungen durch Administratoren | OWASP A09, ASVS Protokollierung | Behoben (Auslieferung folgt) |
Zu den bereits als erfüllt bestätigten Punkten gehören CSRF-Schutz, Begrenzung und Sperre von Anmeldeversuchen, Ablauf und Einmalverwendung von Codes zum Zurücksetzen des Passworts, Beenden der Sitzungen bei Passwortänderung und Abmeldung, festgelegter Signaturalgorithmus für Tokens, Verbergen interner Informationen in Fehlerantworten und Isolierung hochgeladener Dateien.