'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
Estado de revisión de las principales vulnerabilidades
Este documento resume si las principales vulnerabilidades (CVE) publicadas desde 2025 y los avisos de seguridad de KISA Boho Nara afectan a SetFN y si la revisión y las medidas están completas. Se actualiza en cada nueva revisión; la fecha de revisión se indica encima de cada tabla.
Etiquetas de estado
| Estado | Significado |
|---|---|
Corregido | La corrección ya está incluida en una versión publicada de SetFN. |
Corregido (pendiente de publicación) | La corrección y su comprobación están completas y se incluirá en la próxima actualización de SetFN. |
En corrección | Se ha identificado la causa y se está corrigiendo. |
Mejora prevista | Se planifica una mejora funcional para reducir el riesgo. |
No aplica | SetFN no utiliza ese componente o función, o no existe una ruta afectada. |
Requiere acción del operador | El operador debe actualizar el sistema operativo o los programas externos del servidor donde está instalado SetFN. |
Bibliotecas del servidor de SetFN
Fecha de revisión: 2026-10-23. Con la base de datos oficial de vulnerabilidades de Go (govulncheck) se comprobaron las vulnerabilidades que el código del servidor de SetFN invoca realmente.
| Componente | Vulnerabilidad | Contenido | Estado |
|---|---|---|---|
| Biblioteca estándar de Go | GO-2026-6809 | Dejar de confiar en certificados intermedios dañados | Corregido (pendiente de publicación) Go 1.26.10 |
| golang.org/x/net | GO-2026-6617, 6612, 6611, 6603, 5030, 5029, 5028, 5027, 5025 | Interrupción y agotamiento de memoria del servidor HTTP/2, errores de análisis de HTML | Corregido (pendiente de publicación) 0.60.0 |
| golang.org/x/image | GO-2026-6222, 5066, 5062, 5061, 5032, 5031, 4961, 4815 | Agotamiento de memoria e interrupción al analizar imágenes TIFF, WebP y BMP | Corregido (pendiente de publicación) 0.45.0 |
| excelize (procesamiento de Excel) | GO-2026-6689, 6688, 6685, 6684, 6453, 6452, 5960, 6695 | Agotamiento de memoria e interrupción por archivos de Excel manipulados | Corregido (pendiente de publicación) |
| golang.org/x/text | GO-2026-6629, 5970 | Interrupción y bucle infinito por entradas manipuladas | Corregido (pendiente de publicación) 0.42.0 |
| gRPC | GO-2026-6348, 6061, 6443 | Agotamiento de memoria en el transporte HTTP/2, entre otros | Corregido (pendiente de publicación) 1.83.2 |
| gorilla/websocket | GO-2026-6278 | Uso de números aleatorios débiles al generar la clave de máscara | Corregido (pendiente de publicación) 1.5.3 |
| golang-jwt | GO-2025-3553, GO-2024-3250 | Uso excesivo de memoria al analizar la cabecera del token, gestión de errores | Corregido (pendiente de publicación) 4.5.2 |
| ulikunitz/xz | GO-2025-3922 | Fuga de memoria al descomprimir archivos dañados | Corregido (pendiente de publicación) 0.5.15 |
| klauspost/compress, edwards25519 | GO-2026-5841, 4503 | Defectos en bibliotecas de compresión y firma (sin ruta de invocación en SetFN) | Corregido (pendiente de publicación) |
| mholt/archiver v3, nwaples/rardecode | GO-2025-3605, GO-2024-2698, GO-2025-4020 | Manipulación de rutas al descomprimir, entre otros. Bibliotecas sin versión corregida | Corregido (pendiente de publicación) Bibliotecas eliminadas y sustituidas por un módulo de compresión propio |
| pion/dtls v2 | GO-2026-4479 | Defecto en la generación del nonce de cifrado. Sin versión corregida | Corregido (pendiente de publicación) Eliminada al sustituir la biblioteca dependiente |
Tras volver a analizar después de las correcciones, el código del servidor de SetFN no invoca ninguna vulnerabilidad conocida.
Bibliotecas de la interfaz web
Fecha de revisión: 2026-10-23. Con los avisos de seguridad de npm se analizaron las bibliotecas que se ejecutan en el navegador. Se excluyeron las bibliotecas que no se incluyen en la interfaz distribuida, como las herramientas de compilación.
| Componente | Contenido | Estado |
|---|---|---|
| prosemirror-view (editor de documentos) | El HTML pegado podía ejecutar scripts | Corregido (pendiente de publicación) 1.42.7 |
| pdf.js (visor de PDF) | Un PDF manipulado podía ejecutar scripts | Corregido (pendiente de publicación) 6.4.299 |
| Tiptap (editor de documentos) | Tiempo excesivo de procesamiento de expresiones regulares con ciertas entradas | Corregido (pendiente de publicación) 3.32.0 |
| markdown-it, linkify-it (visor de Markdown) | Un documento Markdown manipulado bloqueaba la pantalla | Corregido (pendiente de publicación) 14.3.3, 5.0.2 |
| js-yaml (análisis del encabezado) | Tiempo excesivo de procesamiento con YAML manipulado | Corregido (pendiente de publicación) 4.3.2 |
| DOMPurify (saneamiento de HTML) | Evasión en una opción que SetFN no utiliza | Corregido (pendiente de publicación) 3.4.17 |
| @xmldom/xmldom (apoyo a la reproducción de vídeo) | Defecto en el análisis de XML | Corregido (pendiente de publicación) 0.8.15 |
| TinyMCE 6 (editor de correo) | Un HTML manipulado podía ejecutar scripts (4 casos solo corregidos en 7.x) | Corregido (pendiente de publicación) TinyMCE eliminado. El editor de correos colectivos se sustituyó por Tiptap (2026-10-24) |
| TinyMCE 6 (editor de archivos HTML) | Igual que el anterior | Corregido (pendiente de publicación) TinyMCE eliminado. Los archivos HTML se editan únicamente como código fuente (2026-10-24) |
Programas externos de procesamiento de documentos
Fecha de revisión: 2026-10-23. Vulnerabilidades de gravedad alta (High, CVSS 7.0) o superior publicadas desde 2025 en los programas que SetFN invoca para vistas previas, conversión y reconocimiento de texto, y su estado de corrección en Ubuntu 24.04 LTS.
| Programa | High o superior desde 2025 | Ruta de corrección en Ubuntu 24.04 | Medida de SetFN | Estado |
|---|---|---|---|---|
| LibreOffice | 7 | Paquete main, 1 sin corregir (CVE-2026-63277) | En cada conversión se crea un perfil nuevo y se desactivan las macros, la actualización de enlaces externos y el uso de Java | Corregido (pendiente de publicación) Bloqueo de Java añadido; Requiere acción del operador Actualización del paquete |
| MuPDF | 5 | universe, sin corregir (CVE-2026-3308) | No se utiliza si Poppler está instalado. Se recomienda no instalarlo | Requiere acción del operador |
| libvips | 12 | universe, corrección solo con Ubuntu Pro | Límite de tamaño de entrada y número de píxeles, límite de tiempo | Requiere acción del operador |
| ImageMagick | 90 | universe, corrección solo con Ubuntu Pro | Solo se utiliza si está instalado | Requiere acción del operador |
| FFmpeg | unas 53 | universe, corrección solo con Ubuntu Pro | Solo se utiliza para miniaturas de vídeo, protocolos permitidos limitados | Requiere acción del operador |
| Tesseract | 6 | universe, corrección solo con Ubuntu Pro | Los usuarios no pueden cambiar los archivos de modelo de OCR | Requiere acción del operador |
| Poppler | 2 | main, corregido | - | Requiere acción del operador Actualización del paquete |
| libheif, libde265 | 23 | main, corregido en su mayoría | Límite de tamaño de entrada | Requiere acción del operador Actualización del paquete |
| Pandoc | 0 | - | - | No aplica |
| SQLite | 7 | main, corregido | El servidor de SetFN incluye SQLite dentro del programa, por lo que el paquete del sistema no le afecta | No aplica |
Las tareas del operador se resumen en Comprobar las actualizaciones de seguridad del servidor.
Contraste con los avisos de seguridad de KISA Boho Nara
Fecha de revisión: 2026-10-23. Se comprobaron los 463 avisos de seguridad publicados en KISA Boho Nara entre el 2025-01-01 y el 2026-10-22.
- Avisos que afectan directamente al producto SetFN: 0
- Avisos que pueden aplicarse según el entorno de operación: 32
- No aplica: 431
Los avisos que pueden aplicarse según el entorno de operación son los siguientes.
| Componente | Avisos | Aviso representativo | Estado |
|---|---|---|---|
| Kernel de Linux | 16 | Escalada de privilegios y corrupción de memoria (CVE-2025-21756, CVE-2026-31431, etc.) | Requiere acción del operador |
| sudo | 1 | Escalada de privilegios local (CVE-2025-32463) | Requiere acción del operador |
| OpenSSL | 2 | Desbordamiento de búfer y verificación de integridad insuficiente (CVE-2025-15467, CVE-2026-34182, etc.) | Requiere acción del operador El programa del servidor de SetFN no utiliza el OpenSSL del sistema |
| snapd | 2 | Escalada de privilegios (CVE-2026-3888, CVE-2026-8933) | Requiere acción del operador |
| GRUB2 | 1 | Corrupción de memoria en el cargador de arranque (CVE-2025-0678, etc.) | Requiere acción del operador |
| FFmpeg | 1 | Escritura fuera de límites (CVE-2026-8461) | Requiere acción del operador |
| FreeType | 1 | Escritura fuera de límites (CVE-2025-27363) | Requiere acción del operador |
| Docker | 3 | Evasión de autenticación en Engine (CVE-2026-34040), entre otros | Requiere acción del operador Si opera con Docker |
| Ollama | 1 | Lectura fuera de límites (CVE-2026-7482) | Requiere acción del operador Si utiliza AI local |
| nginx y otros servidores web | 4 | Desbordamiento de heap, asignación excesiva de memoria en HTTP/2 (CVE-2026-49975) | Requiere acción del operador Si utiliza un proxy inverso |
El aviso de denegación de servicio HTTP/2 (CVE-2025-8671, MadeYouReset) se clasificó como No aplica, ya que el anuncio oficial de Go confirmó que no afecta.
Autoevaluación según los estándares de seguridad
Fecha de revisión: 2026-10-23, actualizado el 2026-10-24. Se comprobaron en el código 37 elementos tomando como referencia OWASP Top 10:2025, OWASP ASVS 5.0, NIST SP 800-63B-4 y los elementos de comprobación de vulnerabilidades web de KISA. El resultado es 20 conformes, 11 parcialmente conformes, 5 que requieren mejora y 1 no aplicable.
| Elemento | Estándar | Estado |
|---|---|---|
| Límite de tiempo de las conexiones al servidor (contra ataques de conexión lenta) | OWASP A02, KISA denegación de servicio | Corregido (pendiente de publicación) |
| Cabeceras de respuesta de seguridad (prevención de clickjacking, bloqueo de la inferencia de MIME, Referrer-Policy, Permissions-Policy) | ASVS frontend web | Corregido (pendiente de publicación) |
| HTTPS obligatorio (HSTS) | ASVS comunicaciones seguras, KISA transmisión de datos en texto plano | Requiere acción del operador Se activa en el proxy inverso que gestiona HTTPS, para no bloquear el acceso en entornos con certificados autofirmados |
| Bloqueo de contraseñas habituales o filtradas | NIST SP 800-63B-4 | Corregido (pendiente de publicación) |
| Política centrada en la longitud en lugar de reglas de composición de contraseñas | NIST SP 800-63B-4 | Corregido (pendiente de publicación) Valor predeterminado de las nuevas instalaciones (mínimo de 12 caracteres, sin requisitos de composición). Los servidores existentes mantienen su regla actual |
| Aplicación de la política de contraseñas en el servidor | NIST SP 800-63B-4, ASVS autenticación | Mejora prevista |
| Autenticación en dos pasos para administradores (OTP, etc.) | NIST SP 800-63B-4, ASVS autenticación | Corregido (pendiente de publicación) App de autenticación (TOTP), códigos de recuperación y política obligatoria |
| Registro de auditoría de los cambios en la configuración de seguridad por administradores | OWASP A09, ASVS registros | Corregido (pendiente de publicación) |
Entre los elementos ya confirmados como conformes están la defensa contra CSRF, la limitación y el bloqueo de intentos de inicio de sesión, la caducidad y el uso único de los códigos de restablecimiento de contraseña, la revocación de sesiones al cambiar la contraseña o cerrar sesión, la fijación del algoritmo de firma de tokens, la ocultación de información interna en las respuestas de error y el aislamiento de los archivos cargados.