SetFN
SetFNDocs2026年10月27日

セキュリティ点検記録

SetFNが実施したセキュリティ点検を新しい順に記録します。各記録には、点検範囲、見つかった問題、対応状況が含まれます。ステータスの表記は、主要な脆弱性の点検状況と同じです。

問題を悪用する方法が知られないように、記録には再現手順ではなく影響と対応内容だけを記載します。

2026-10-24 AIによる相互レビューとフォローアップ対応

1次〜3次点検でClaudeが修正した内容を、OpenAI Codexが読み取り専用で再レビューしました。コードが意図どおりに修正されているかと画面の使いやすさ（UI/UX）をあわせて確認し、指摘ごとにコードで確認して実際の欠陥だけを修正したあと、Codexがブロックする問題が残らなくなるまで修正版を5回繰り返してレビューしました。3次点検で残していた課題（管理者の2段階認証、長さ中心のパスワードルール、TinyMCE）も、この日にあわせて対応しました。

見つかった問題と対応

領域内容ステータス
認証管理者アカウントに認証アプリによる2段階認証（リカバリーコードを含む）を追加し、すべての管理者が登録する必要がある管理者の2段階認証を必須にするポリシーをセキュリティ設定に追加しました。管理者の2段階認証を設定するを参照してください。修正済み（リリース予定）
認証2段階認証を登録または解除すると、そのアカウントの他のセッションを整理します。必須ポリシーは、すでに開いているリアルタイム接続と進行中のMCP作業にも適用され、パスワードを変更すると待機中のログイン段階を無効にします。修正済み（リリース予定）
認証新しくインストールしたサーバーの既定のパスワードルールを、12文字以上・文字種の組み合わせの要求なしに変更しました（NIST SP 800-63B-4）。インストールウィザードとコマンドラインツールも同じルールに従い、既存のサーバーのルールは変わりません。修正済み（リリース予定）
エディター一斉案内メールのエディターをTiptapに置き換え、HTMLファイルのビジュアルエディター（TinyMCE）を削除しました。TinyMCE 6に残っていた未修正の脆弱性の影響がなくなりました。HTMLファイルはソースコードとしてだけ編集します。修正済み（リリース予定）
権限プレゼンテーション・シート・自動変換が取り込む画像、類似画像検索、AI回答の根拠の本文で、リクエストしたユーザーの権限を確認します。オフィスプレビューの結果は、作成したユーザーだけが受け取れます。修正済み（リリース予定）
文書変換文書内のTeX数式を通じて、作業フォルダの外のファイルを読み取れる可能性がありました。作業フォルダの外のファイルは読み取れないように遮断しました。修正済み（リリース予定）
サーバーの安定性変換時に文書構造を分割して読み込み、パスワード付き文書の読み取りサイズを制限します。外部の変換ツールは、実行前に、メモリ不足のときに先に終了させる対象として設定します。修正済み（リリース予定）
記録ブロック解除が一部だけ成功したときの処理と、設定変更の監査記録で抜けていた項目を補いました。修正済み（リリース予定）
画面一斉メールの下書きを送信せずに離れるときと、リカバリーコードを保存せずに離れるときに確認ウィンドウを表示し、キーボード・スクリーンリーダーのアクセシビリティを補いました。修正済み（リリース予定）
認証アカウントごとに認証世代を持たせ、すべてのセッションの切断・パスワードの変更・2段階認証の変更のあとは、以前のセッションと、そのセッションから派生したトークン更新・アプリログインを使えないようにしました。セッションの削除に失敗しても適用されます。修正済み（リリース予定）
認証すべてのセッションを切断するときに、ログインと同意画面を経て接続したMCP OAuth接続も一緒に切断します。ユーザーが自分で作成したAPIキーは維持されます。修正済み（リリース予定）
サーバーの安定性リアルタイム接続の遮断が遅い接続のために遅れないようにし、パスワード付き文書の処理に同時実行と待機数の上限を設けました。修正済み（リリース予定）
認証サーバーがログイン状態を一時的に確認できない場合は、ログアウトさせずに再試行するようにしました。修正済み（リリース予定）

残りの制限

  • ブラウザーがパスワードをハッシュに変えて送信するため、サーバーはパスワードの長さのルールを直接強制できません。長さと組み合わせのルールは画面で検査し、よく使われるパスワードのブロックはサーバーで行います。
  • ポリシーの適用状態と2段階認証の待機状態はサーバーのメモリにあります。サーバーを再起動すると、進行中だったログインを最初からやり直す必要があります。

2026-10-23 3次フォローアップ点検

2次再点検で残していたフォローアップ項目と、国際標準文書の推奨事項（NIST SP 800-63B-4のパスワード基準、OWASP Top 10:2025 A09のセキュリティログ）を反映しました。権限の問題は、修正前のコードで失敗するテストで先に確認したうえで修正し、修正版は新しく取得したソースから再ビルド・再試験しました。

見つかった問題と対応

領域内容ステータス
権限文書変換（AI変換ツール、文書変換、オフィスプレビュー）が元のフォルダ全体から画像を取り込んでいたため、変換を要求したユーザーが読めないサブフォルダの画像が結果ファイルに含まれる可能性がありました。要求したユーザーが読める画像だけを含めるように変更しました。修正済み（リリース予定）
権限文書変換で、文書に記載したスタイルシート・表紙のパスを通じて、サーバー上の別のファイルの内容が結果ファイルに含まれる可能性がありました。変換前にスタイルシートの指定と安全でないパスを削除します。このため、文書で指定したCSSスタイルは変換結果に適用されません。修正済み（リリース予定）
権限ナレッジ検索の結果とAI回答の根拠が、閲覧権限だけで文書本文の一部を表示していました。本文は閲覧とダウンロードの両方の権限がある場合だけ表示し、閲覧権限だけの場合はタイトルと場所だけを表示します。修正済み（リリース予定）
権限お気に入り、オフィスプレビューとオンライン編集、編集履歴が、チームスペースのシステムフォルダのアクセス境界と現在の権限を再確認していませんでした。リクエストごとに再確認し、編集履歴の以前の内容はダウンロード権限がある場合だけ表示します。修正済み（リリース予定）
権限Webサイト（Webスペース）の表の合計・平均などの集計が、読み取りが制限されたカラムの値を反映しており、行の削除権限だけで完全に削除できました。読めないカラムは集計から除外し、完全削除は管理者とデプロイ担当者だけが実行できます。修正済み（リリース予定）
自動化文書ロックなどの操作が拒否された場合でも、自動化とWebhookが実行される可能性がありました。操作が成功した場合だけ実行します。修正済み（リリース予定）
設定フォルダ設定のセットを適用すると、フォルダのナレッジ活用設定が消える可能性がありました。既存の設定を維持します。修正済み（リリース予定）
認証新しいパスワードを設定するとき、よく使われている、または流出したパスワード約2万件をブロックします（NIST SP 800-63B-4）。会員登録、パスワードの変更・再設定、管理者によるアカウント作成・パスワード再設定、コマンドラインツール、インストールウィザードに適用され、現在使用中のパスワードでのログインはそのまま使えます。修正済み（リリース予定）
記録管理者によるセキュリティ・ポリシー設定の変更、ブロックとブロック解除、ユーザー権限の変更、アカウントの作成・削除、パスワードの再設定、デバイスの承認・拒否、セッション・ロボット確認（CAPTCHA）ポリシーの変更を監査ログに記録します。変更した管理者、日時、接続IP、変更した項目が記録され、パスワードやキーなどの秘密の値は記録しません。修正済み（リリース予定）
外部共有管理者が外部共有をオフにしても、リンクを作成したユーザーが既存のリンクを確認して削除できるように画面を修正しました。新しいリンクは作成できません。修正済み（リリース予定）
Web画面AIリクエストの上限、圧縮ダウンロードの待機など、新しいサーバー側の拒否理由をユーザーの言語の案内文で表示します。修正済み（リリース予定）
サーバーの安定性大きなテキストファイル（大容量のCSVなど）を開くときにファイル全体をメモリに読み込んでいたため、複数のユーザーが同時に開くとサーバーのメモリが不足する可能性がありました。16MBを超えるファイルは分割して送るように変更しました。修正済み（リリース予定）
サーバーの安定性ブランディングのロゴとAI画像要約が、画像の幅・高さを確認せずに展開していました。先にサイズを確認し、極端に大きい画像は展開しません。修正済み（リリース予定）
サーバーの安定性境界が壊れている、または非常に深くネストしたメールを処理する一部のコード（現在は未使用）に深さの制限がなく、処理が終わらない可能性がありました。ネストの深さを制限し、エラーが発生したら停止するように修正しました。修正済み（リリース予定）
サーバーの安定性文書変換・画像・動画の処理プログラムがメモリを大量に使うと、代わりにSetFNサーバーが終了させられる可能性がありました。メモリ不足のときはこれらのプログラムが先に終了するように設定しました。修正済み（リリース予定）

残りの課題

  • この点検で残していた管理者の2段階認証、長さ中心のパスワードルール（新規インストールの既定値）、TinyMCEの置き換えは、2026-10-24 AIによる相互レビューで対応しました。

2026-10-23 2次再点検

1次修正のあと、同じ日に全体を再点検しました。1次修正に抜けがないかを再確認し、1次で扱わなかった領域（機能ごとの権限確認の範囲、入力処理、メール・Webhook・AIツールの権限境界、Web画面、秘密情報と設定）をAI（Claude）で分けてレビューしました。見つかった問題は、修正前のコードで失敗するテストで確認したうえで修正しました。

見つかった問題と対応

領域内容ステータス
権限検索、フォルダツリー、リアルタイムファイル、AIファイルツールで、一般ユーザーが管理者領域（すべてのユーザーの個人スペース）を指定できました。全体管理者だけが開けるように変更しました。修正済み（リリース予定）
権限名前が似ている別のユーザーの個人スペースへファイルパスが外れる可能性がありました。すべてのスペースのファイルアクセスに境界の確認を追加しました。修正済み（リリース予定）
権限データベースファイルを直接参照する機能にパスの権限確認がなく、別のデータベースファイルを開くことができました。権限確認と危険なコマンドの遮断を追加しました。修正済み（リリース予定）
権限AI予定ツールが予定の所有者を確認しておらず、AIファイルツールが似た名前のファイルを代わりに読むときに権限を再確認していませんでした。修正済み（リリース予定）
権限個人スペースの活動記録、スペース間コピーの元ファイルの権限、ハングルの字母表記の違いによる権限確認、お気に入り、変換状態、作業キャンセルの所有者確認を補強しました。修正済み（リリース予定）
権限Webサイト（Webspace）の表のカラム読み取り・書き込み制限が適用されていませんでした。削除された行と作成者カラムも保護するように変更しました。修正済み（リリース予定）
権限設定を保存するときにIPアクセス制限の項目が抜けていると、制限が解除される可能性がありました。修正済み（リリース予定）
データ分離チームの予定一覧、受信トレイ、通知に別のユーザーの個人の予定が表示される可能性がありました。修正済み（リリース予定）
サーバーの安定性自動補完のリクエストが同時に入るとサーバーが停止する可能性がありました。修正済み（リリース予定）
外部リクエストAIモデル接続が一般ユーザーのリクエストを管理機能まで転送しており、一部の機能がサーバー内部のアドレスへリクエストを送信できました。プラグインへログイン情報が渡されていた問題も遮断しました。修正済み（リリース予定）
コンテンツ隔離Webサイトの静的ファイル（XML・XHTML）、文書変換のプレビュー、ブランディング設定値、PDF変換エンジン、ログイン後の移動先アドレスを補強しました。修正済み（リリース予定）
過負荷防御リクエストサイズの制限を機能パス基準に変更し、低速なリクエスト本文に時間制限を設け、同時アップロードのストレージ割り当て量を予約し、IPv6のリクエスト制限をアドレス帯単位にまとめました。修正済み（リリース予定）
データ保全文字認識（OCR）の結果がないときに元のファイルが削除されないように変更しました。修正済み（リリース予定）
Web画面メール作成画面のHTMLサニタイズを標準のサニタイズツール（DOMPurify）に置き換え、新しいウィンドウで開くリンクを保護しました。修正済み（リリース予定）
メール連絡先の修正が別のユーザーの連絡先に影響する可能性があり、外部メールアカウントが社内のアドレスを占有できました。無効化されたメールボックスへのアクセスと、チームスペースに保存された共有メールボックスの原文ファイルへのアクセスも遮断しました。修正済み（リリース予定）
ファイル・連携ファイル保存のロックが別のユーザーの同名ファイルまでブロックする可能性があり、ダウンロードした圧縮ファイル内の名前が別のフォルダに展開される可能性がありました。ワークフロー連携は毎回ユーザーを再確認し、Webhookトークンはログで隠し、署名必須の設定は既存のWebhookにも適用します。修正済み（リリース予定）
共有外部共有機能をオフにしたり、作成者の共有権限を取り消したりしても既存の共有リンクが開き続け、使用回数の制限を同時アクセスで超えられる可能性がありました。機能をオフにしても、作成者は自分のリンクを確認して無効化できます。修正済み（リリース予定）
権限1対1・グループのトークルームの添付ファイルを、同じチームの別のユーザーがファイル機能から開くことができました。そのルームの参加者と管理者だけが開けるように変更しました。修正済み（リリース予定）
権限権限がなく拒否されたフォルダ参照の応答に、フォルダ内の項目情報が含まれる可能性がありました。修正済み（リリース予定）
権限ファイル保存と承認処理のリクエストが、権限拒否の応答を返した後も実際に処理される場合がありました。拒否した時点で処理を止めるように修正しました。修正済み（リリース予定）
権限AIツールのフォルダ設定の参照・変更と、ファイル内容をもとに作成する結果（リサーチ、類似画像、フォルダ分析）に権限確認を補強しました。修正済み（リリース予定）
設定・秘密情報リポジトリに秘密鍵がなく、パスワードハッシュ・トークン署名・メールアカウントの暗号化が適切であることを確認しました。API説明ページがリバースプロキシ経由で公開されていた問題を遮断し、使用していない弱い暗号関数を削除しました。修正済み（リリース予定）

運用者向けの案内

  • 外部AI連携（APブリッジ）で/api/ai-proxyを使用している場合は、サーバーと連携側に同じSETFN_AI_PROXY_TOKENの値を設定する必要があります。今回の修正から、トークンなしのローカルリクエストだけではアクセスできません。

2026-10-23 リリース前の全体セキュリティ点検

メモリ不足の状況を狙った攻撃手法が公開されたことをきっかけに、リリース前にサーバー全体を再点検しました。AI（Claude）で5つの領域に分けてコードをレビューし、見つかった問題はコードとテストで再確認したうえで修正しました。

点検範囲

  • ログインなしで呼び出せる機能のリクエストサイズと接続時間
  • あるユーザーのリクエストデータが別のユーザーの応答に混ざる可能性のある経路
  • 不完全なデータを正常なデータとして保存する経路
  • リクエストが繰り返されるとサーバーのメモリに蓄積し続ける状態
  • サーバー・Web画面ライブラリの既知の脆弱性、文書処理プログラムの2025年以降の主要な脆弱性
  • KISAのセキュリティ通知463件（2025-01-01 ~ 2026-10-22）
  • OWASP Top 10:2025、OWASP ASVS 5.0、NIST SP 800-63B-4、KISAのWeb脆弱性点検項目

見つかった問題と対応

領域内容ステータス
ユーザー間のデータ分離ファイル名の自動補完に、別のユーザーの個人スペースのファイル名が表示されることがありました。スペースとユーザーごとにインデックスを分け、管理者スペースは管理者だけが参照できるように変更しました。修正済み（リリース予定）
ユーザー間のデータ分離チームの予定と個人の予定を同時に参照すると、別のユーザーの個人の予定が混ざって表示されることがありました。リクエストごとに予定の保存先を固定するように変更しました。修正済み（リリース予定）
ユーザー間のデータ分離ごみ箱から同じ名前のファイルを上書きして復元すると、別のファイルのコメント・変更履歴が変わることがありました。修正済み（リリース予定）
サーバーの安定性検索結果をリアルタイムで送信している途中で接続が切れると、応答の終了後にも記録を試行してサーバーが停止することがありました。修正済み（リリース予定）
サーバーの安定性リアルタイム接続の現在の画面情報を複数の処理が同時に読み書きする競合を解消しました。修正済み（リリース予定）
過負荷防御サーバー接続に時間制限がなく、低速な接続を大量に開いたままにする攻撃に弱い状態でした。ヘッダー受信時間・アイドル接続時間・ヘッダーサイズの制限を追加しました。修正済み（リリース予定）
過負荷防御リクエスト本文のサイズ制限がない機能がありました。API全体に既定の上限を設け、ログインなしで呼び出すアプリログインの準備・デバイス登録の確認・インストール画面に個別の上限を追加しました。修正済み（リリース予定）
過負荷防御ログイン失敗の記録とアプリログインの待機リクエストが際限なく増える可能性がありました。全体の件数と接続元ごとの件数に上限を設けました。修正済み（リリース予定）
過負荷防御メールの重複処理記録、Webサイトのリアルタイム購読、AIリクエストの同時実行、圧縮ダウンロードの同時処理、フォルダツリーのキャッシュが際限なく増える可能性がありました。それぞれに上限と定期的な整理を追加しました。修正済み（リリース予定）
データ保全長さを通知しないアップロードがストレージ割り当て量の確認をすり抜ける可能性があり、文書のパスワード設定がファイルをその場で上書きするため、失敗時に元のファイルが壊れる可能性がありました。受信した量を数えながら割り当て量を確認し、文書のパスワード設定と変換結果の保存は一時ファイルに書き込んでから置き換えるように修正しました。修正済み（リリース予定）
データ保全大きすぎる特許XMLが途中で切れた状態で処理されたあと、元のファイルが削除される可能性がありました。サイズを超えた場合は失敗として扱い、一部だけ解析された元のファイルは削除しないように修正しました。修正済み（リリース予定）
文書処理プログラムLibreOfficeに、Ubuntu 24.04ではまだ修正されていない脆弱性（CVE-2026-63277）があります。文書変換に使うLibreOfficeのプロファイルでJavaの使用を無効にするように変更しました。修正済み（リリース予定）
文書処理プログラム圧縮・画像・文書ファイルを処理するときのサイズ上限を補強しています。修正中
依存ライブラリGoサーバーライブラリの既知の脆弱性41件を修正版に更新し、メンテナンスが終了した圧縮ライブラリを独自モジュールに置き換えました。修正済み（リリース予定）
依存ライブラリWeb画面のライブラリ（文書エディター、PDFビューアー、Markdownビューアーなど）の深刻度High以上の脆弱性20件を修正版に更新しました。修正済み（リリース予定）
依存ライブラリHTMLファイルエディター（TinyMCE）の一部の脆弱性は上位バージョンでのみ修正されているため、移行を検討しています。メールエディターは入力のサニタイズで防ぎました。修正中
セキュリティヘッダー管理者・アカウント画面をほかのサイトに埋め込めないようにし、API応答の形式推測と外部に渡るアドレス情報を制限しました。修正済み（リリース予定）
認証パスワードポリシーをNISTの基準（組み合わせ規則ではなく、長さとよく使われるパスワードのブロック）に変更し、管理者の2段階認証を追加する予定です。改善予定
外部通知KISAの通知のうち、SetFNが直接影響を受ける通知はありませんでした。運用環境によって該当する32件は、運用者の確認項目として整理しました。運用者の対応が必要

修正の確認

各修正には、修正前のコードで失敗するテストを追加しました。修正後は、運用データと分離したテストサーバーを別に起動し、コマンドラインツールで管理者と一般ユーザーのアカウントを作成したうえで、実際のリクエストで次を確認しました。

  • 別のユーザーの個人スペースのファイル名が自動補完に表示されない
  • チーム・個人の予定を同時に40回取得する間、個人の予定がチームの一覧に混ざらない
  • ヘッダーを終了しない低速な接続を、サーバーが制限時間後に切断する
  • 過度に大きいリクエストと長い入力を、本文を読み取る前に拒否する
  • 管理者画面にはクリックジャッキング防止ヘッダーが付き、顧客のWebサイトのページには付かない

運用者向けの案内

  • サーバーのセキュリティアップデートを点検するを新しく作成しました。Ubuntuのuniverseパッケージのセキュリティ修正を受け取る方法と、MuPDFをインストールしない理由を案内します。
  • LinuxとWindowsのインストールドキュメントの推奨パッケージからmupdf-toolsを外しました。

2026-10-20 ~ 2026-10-22 権限境界の再レビュー

AI（OpenAI Codex）で権限・共有処理のコードを並行して再レビューし、見つかった欠陥は修正前のコードで失敗するテストで確認したうえで修正しました。

内容ステータス
デスクトップ同期の一覧に、一覧表示権限のないフォルダの名前とファイルサイズが含まれていた問題対応済み
共有リンク・ごみ箱からの復元・文書送信の権限処理の欠陥、権限拒否がサーバーエラー（500）として表示されていた問題対応済み
取り消した権限がリアルタイム接続で復活する可能性があった順序の問題、ファイル通知の受信者の範囲対応済み
退出したチャットルームに遅れて届いたAI応答が表示されていた問題対応済み
文書変換メニューとOCR結果保存の権限チェックの補完対応済み

2026-10-19 AIログの原文制限

AI機能の診断ログにリクエストの原文が過剰に残らないように、記録範囲を縮小しました。対応済み

2026-10-13 変換・公開Web権限の補強

内容ステータス
変換フォルダの再処理機能にパスの権限チェックがなかった問題対応済み
変換設定のないフォルダで元のファイルが削除されていた既定値を保持に変更対応済み
公開Webの参照権限と文書履歴の境界の補強、リアルタイム接続の再認証リグレッションの補強対応済み

2026-09-25 全方位セキュリティ点検

権限、共有、認証、Web画面でのスクリプト実行（XSS）、サーバーサイドリクエストフォージェリ（SSRF）、AI・ワークフローツールを点検しました。隔離したテストサーバーに実際のリクエストを送って確認したうえで修正しました。

内容ステータス
共有リンクトークンの種類・発行者・パス範囲の検証を強化対応済み
パスを正規化したあとに権限を判定するように変更し、一覧の取得にも上位フォルダの権限を適用対応済み
CSRF例外条件の強化、CORSのオリジン比較にポートを含める、パスワード変更時にすべてのセッションを終了対応済み
Office文書の保存・ロックにパスの権限とフォルダポリシーを適用対応済み
AIツールが内部引数を受け取れないようにし、ファイルの作成・上書きに権限と編集ロックを適用対応済み
ワークフロー連携にトークンを必須化し、ファイルツールに権限チェックを適用対応済み
メール・Markdown・Word文書表示のHTMLサニタイズを強化し、アップロードファイルの応答を隔離対応済み
アカウントロック機能が悪用されないように、最近ログインに成功したIPの例外を追加対応済み
リアルタイム機能の管理者操作（強制退出など）の権限を強化対応済み

関連ドキュメント