Comprobar las actualizaciones de seguridad del servidor

Las actualizaciones de SetFN incluyen las correcciones de seguridad del programa del servidor de SetFN y de las bibliotecas que lleva incorporadas. El sistema operativo en el que se ejecuta SetFN y los programas externos que SetFN invoca para las vistas previas, la conversión y el reconocimiento de texto (OCR) de documentos debe actualizarlos directamente el operador del servidor.

Este documento explica, a partir de los avisos de seguridad de KISA Boho Nara y de los resultados de revisión de las principales vulnerabilidades (CVE), los elementos y comandos que debe comprobar el operador. Los ejemplos corresponden a Ubuntu 24.04 LTS.

Antes de comenzar

• Debe conectarse al servidor con una cuenta que tenga privilegios sudo.
• Si se actualiza el kernel, debe reiniciar el servidor para que se aplique. Realice la tarea en un horario con pocos usuarios.

Actualizar los paquetes del sistema operativo

1. En el terminal, actualice la lista de paquetes e instale las actualizaciones de seguridad.

   sudo apt update
   sudo apt upgrade
   

2. Compruebe si es necesario reiniciar. Si el archivo existe, debe reiniciar.

   ls /var/run/reboot-required
   

3. Después de reiniciar, compruebe que SetFN se ejecuta correctamente.

Los siguientes componentes son aquellos para los que KISA ha recomendado actualizaciones de seguridad desde 2025. Se actualizan junto con los comandos anteriores.

Comprobar los programas de procesamiento de documentos

SetFN utiliza los siguientes programas para las vistas previas, la conversión y el reconocimiento de texto de los archivos que cargan los usuarios. Como estos programas leen directamente archivos recibidos del exterior, no posponga sus actualizaciones de seguridad.

Recibir correcciones de seguridad de los paquetes universe con Ubuntu Pro

En Ubuntu 24.04, LibreOffice, Poppler y libheif son paquetes del repositorio main, por lo que sus correcciones de seguridad se instalan con sudo apt upgrade. libvips, Tesseract, MuPDF, Pandoc, ImageMagick y FFmpeg son paquetes del repositorio universe. Las correcciones de las vulnerabilidades de gravedad alta (High) o superior publicadas desde 2025 para estos paquetes solo se han ofrecido mediante esm-apps de Ubuntu Pro.

Si utiliza estos programas, conecte el servidor a Ubuntu Pro.

1. Obtenga un token en Ubuntu Pro.
2. Ejecute los siguientes comandos en el servidor.

   sudo pro attach <token>
   sudo pro enable esm-apps
   sudo apt update
   sudo apt upgrade
   

3. Compruebe que pro status muestra esm-apps como enabled.

Reducir los programas de procesamiento de documentos innecesarios

• MuPDF (mupdf-tools): si Poppler (poppler-utils) está instalado, SetFN no utiliza MuPDF. MuPDF tiene una vulnerabilidad (CVE-2026-3308) todavía sin corregir en Ubuntu 24.04, por lo que se recomienda no instalarlo. Si ya lo instaló, puede eliminarlo con sudo apt remove mupdf-tools.
• ImageMagick, FFmpeg: si no están instalados, SetFN simplemente no utiliza la conversión correspondiente ni las miniaturas de vídeo. Si no los necesita, no los instale.
• FFmpeg 8.x: si lo compiló por su cuenta o lo instaló desde otro repositorio, actualícelo a la versión 8.0.3 o 8.1.2 o posterior (CVE-2026-8461).

Uso de Java en LibreOffice

Se ha publicado una vulnerabilidad de LibreOffice (CVE-2026-63277) por la que las conexiones de datos externos de un documento pueden cargar un controlador Java remoto, y el paquete de Ubuntu 24.04 todavía no incorpora la corrección (comprobado el 2026-10-23). SetFN crea un perfil nuevo de LibreOffice en cada conversión de documentos y desactiva en ese perfil las macros y la actualización de enlaces externos. A partir de la actualización que incluye la corrección de la revisión del 2026-10-23, en ese mismo perfil también se desactiva el uso de Java. Si no necesita Java para otros fines, puede reducir aún más el riesgo eliminando el entorno de ejecución de Java del servidor.

Comprobar cuando se opera con Docker

Si opera SetFN con Docker, compruebe que las versiones sean iguales o superiores a las siguientes.

Comprobar cuando se utiliza un proxy inverso

Si coloca un proxy inverso como nginx delante de SetFN para gestionar HTTPS, el proxy inverso también debe recibir actualizaciones de seguridad.

• Para nginx de código abierto se recomienda la versión 1.30.4 o 1.31.3 o posterior. En los paquetes de la distribución, las correcciones llegan con las actualizaciones de seguridad de la distribución.
• Se ha publicado un ataque (CVE-2026-49975) que hace que los servidores web con HTTP/2 activado consuman memoria excesiva. Aplique la versión corregida del servidor web que utilice.
• Si opera HTTPS con un certificado de una autoridad reconocida, active la cabecera HSTS (Strict-Transport-Security) en el proxy inverso. El servidor de SetFN no envía HSTS por sí mismo para no bloquear el acceso en instalaciones de red interna que usan certificados autofirmados.

Comprobar cuando se utiliza AI local (Ollama)

Si ejecuta modelos de AI locales con Ollama en el mismo servidor que SetFN, compruebe lo siguiente.

1. Compruebe la versión con ollama --version y actualice a la 0.17.1 o posterior (CVE-2026-7482).
2. Compruebe que la API de Ollama no esté expuesta al exterior. Si solo se utiliza desde el mismo servidor que SetFN, no establezca OLLAMA_HOST en 0.0.0.0.
3. Si debe acceder a Ollama desde otro servidor, permita únicamente la dirección del servidor de SetFN en el cortafuegos.

Hacer una copia de seguridad de la clave de la verificación en dos pasos

Los servidores que usan la verificación en dos pasos para administradores guardan la clave de cifrado que protege los datos de autenticación en secrets/admin-mfa/, dentro de la carpeta de configuración. Copie también esta carpeta al hacer una copia de seguridad del servidor o al migrarlo. Si el servidor restaurado no tiene esta clave, la verificación en dos pasos de todos los administradores fallará, por lo que deberá restablecerla para cada administrador con el comando user mfa reset y configurarla de nuevo. Consulte Configurar la verificación en dos pasos para administradores.

Comprobar cuando se utiliza una integración externa de AI

Si una integración externa de AI (puente AP) llama a /api/ai-proxy de SetFN, establezca el mismo valor de SETFN_AI_PROXY_TOKEN como variable de entorno tanto en el servidor de SetFN como en el programa de integración. A partir de las versiones posteriores a la revisión de seguridad del 2026-10-23, esta ruta ya no puede utilizarse solo con solicitudes enviadas desde el mismo servidor sin el token.

Información útil

• Los problemas de seguridad que afectan directamente a SetFN se corrigen mediante actualizaciones de SetFN. Mantenga también SetFN en la versión más reciente.
• Puede consultar si cada aviso afecta a SetFN y su estado de revisión en Estado de revisión de las principales vulnerabilidades.
• Si limita el acceso a la página de administración a determinadas IP, puede reducir aún más el riesgo de ataques externos. Consulte Restricción de acceso por IP.

Documentos relacionados

• Conocer las revisiones de seguridad y el método de actualización
• Estado de revisión de las principales vulnerabilidades
• Instalación en Linux