'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
主要な脆弱性の点検状況
このドキュメントは、2025年以降に公開された主要な脆弱性（CVE）とKISA（韓国インターネット振興院）のセキュリティ通知がSetFNに該当するか、点検と対応を終えたかを整理します。新しい点検を行うたびに更新し、点検日は各表の上に表示します。
ステータス表記
| ステータス | 意味 |
|---|---|
対応済み | 修正が、すでに配布済みのSetFNバージョンに含まれています。 |
修正済み（リリース予定） | 修正と確認を終えており、次のSetFNアップデートに含まれます。 |
修正中 | 原因を確認し、修正を進めています。 |
改善予定 | リスクを減らすための機能改善を計画しています。 |
該当なし | SetFNが該当するコンポーネントや機能を使用していないか、影響を受ける経路がありません。 |
運用者の対応が必要 | SetFNをインストールしたサーバーのOSや外部プログラムを、運用者がアップデートする必要があります。 |
SetFNサーバーライブラリ
点検日：2026-10-23。Go公式の脆弱性データベース（govulncheck）で、SetFNサーバーのコードが実際に呼び出す脆弱性を確認しました。
| コンポーネント | 脆弱性 | 内容 | ステータス |
|---|---|---|---|
| Go標準ライブラリ | GO-2026-6809 | 破損した中間証明書を信頼しないように変更 | 修正済み（リリース予定） Go 1.26.10 |
| golang.org/x/net | GO-2026-6617, 6612, 6611, 6603, 5030, 5029, 5028, 5027, 5025 | HTTP/2サーバーの停止・メモリ枯渇、HTML解析エラー | 修正済み（リリース予定） 0.60.0 |
| golang.org/x/image | GO-2026-6222, 5066, 5062, 5061, 5032, 5031, 4961, 4815 | TIFF・WebP・BMP画像の解析中のメモリ枯渇・停止 | 修正済み（リリース予定） 0.45.0 |
| excelize（Excel処理） | GO-2026-6689, 6688, 6685, 6684, 6453, 6452, 5960, 6695 | 細工されたExcelファイルによるメモリ枯渇・停止 | 修正済み（リリース予定） |
| golang.org/x/text | GO-2026-6629, 5970 | 細工された入力による停止・無限ループ | 修正済み（リリース予定） 0.42.0 |
| gRPC | GO-2026-6348, 6061, 6443 | HTTP/2トランスポートのメモリ枯渇など | 修正済み（リリース予定） 1.83.2 |
| gorilla/websocket | GO-2026-6278 | マスクキーの生成に弱い乱数を使用 | 修正済み（リリース予定） 1.5.3 |
| golang-jwt | GO-2025-3553, GO-2024-3250 | トークンヘッダー解析時のメモリ過剰使用、エラー処理 | 修正済み（リリース予定） 4.5.2 |
| ulikunitz/xz | GO-2025-3922 | 破損した圧縮ファイルの展開時のメモリリーク | 修正済み（リリース予定） 0.5.15 |
| klauspost/compress, edwards25519 | GO-2026-5841, 4503 | 圧縮・署名ライブラリの欠陥（SetFNの呼び出し経路なし） | 修正済み（リリース予定） |
| mholt/archiver v3, nwaples/rardecode | GO-2025-3605, GO-2024-2698, GO-2025-4020 | 圧縮展開時のパス操作など。修正版のないライブラリ | 修正済み（リリース予定） ライブラリを削除し、独自の圧縮モジュールに置き換え |
| pion/dtls v2 | GO-2026-4479 | 暗号化nonceの生成の欠陥。修正版なし | 修正済み（リリース予定） 依存ライブラリの置き換えにより削除 |
修正後に再検査した結果、SetFNサーバーのコードが呼び出す既知の脆弱性はありません。
Web画面ライブラリ
点検日：2026-10-23。npmのセキュリティアドバイザリで、ブラウザーで実行されるライブラリを検査しました。ビルドツールのように配布される画面に含まれないライブラリは除外しました。
| コンポーネント | 内容 | ステータス |
|---|---|---|
| prosemirror-view（文書エディター） | 貼り付けたHTMLでスクリプトが実行される可能性 | 修正済み（リリース予定） 1.42.7 |
| pdf.js（PDFビューアー） | 細工されたPDFでスクリプトが実行される可能性 | 修正済み（リリース予定） 6.4.299 |
| Tiptap（文書エディター） | 特定の入力で正規表現の処理時間が過大になる | 修正済み（リリース予定） 3.32.0 |
| markdown-it, linkify-it（Markdownビューアー） | 細工されたMarkdown文書で画面が停止する | 修正済み（リリース予定） 14.3.3, 5.0.2 |
| js-yaml（フロントマターの解析） | 細工されたYAMLで処理時間が過大になる | 修正済み（リリース予定） 4.3.2 |
| DOMPurify（HTMLサニタイズ） | SetFNが使用していないオプションでのバイパス | 修正済み（リリース予定） 3.4.17 |
| @xmldom/xmldom（動画再生の補助） | XML解析の欠陥 | 修正済み（リリース予定） 0.8.15 |
| TinyMCE 6（メールエディター） | 細工されたHTMLでスクリプトが実行される可能性（4件は7.xでのみ修正） | 修正済み（リリース予定） TinyMCEを削除。一斉案内メールのエディターをTiptapに置き換え（2026-10-24） |
| TinyMCE 6（HTMLファイルエディター） | 上と同じ | 修正済み（リリース予定） TinyMCEを削除。HTMLファイルはソースコードとしてだけ編集（2026-10-24） |
文書処理の外部プログラム
点検日：2026-10-23。SetFNがプレビュー・変換・文字認識に呼び出すプログラムの、2025年以降の深刻度High（CVSS 7.0）以上の脆弱性と、Ubuntu 24.04 LTSでの修正状況です。
| プログラム | 2025年以降のHigh以上 | Ubuntu 24.04の修正経路 | SetFNの対応 | ステータス |
|---|---|---|---|---|
| LibreOffice | 7件 | mainパッケージ、1件未修正（CVE-2026-63277） | 変換のたびに新しいプロファイルを作成し、マクロ・外部リンクの更新・Javaの使用を無効化 | 修正済み（リリース予定） Javaのブロックを追加、運用者の対応が必要 パッケージの更新 |
| MuPDF | 5件 | universe、未修正（CVE-2026-3308） | Popplerがあれば使用しない。インストールしないように案内 | 運用者の対応が必要 |
| libvips | 12件 | universe、修正はUbuntu Pro限定 | 入力サイズ・ピクセル数の制限、時間制限 | 運用者の対応が必要 |
| ImageMagick | 90件 | universe、修正はUbuntu Pro限定 | インストールされている場合にのみ使用 | 運用者の対応が必要 |
| FFmpeg | 約53件 | universe、修正はUbuntu Pro限定 | 動画のサムネイルにのみ使用、許可するプロトコルを制限 | 運用者の対応が必要 |
| Tesseract | 6件 | universe、修正はUbuntu Pro限定 | ユーザーはOCRモデルファイルを変更できない | 運用者の対応が必要 |
| Poppler | 2件 | main、修正済み | - | 運用者の対応が必要 パッケージの更新 |
| libheif, libde265 | 23件 | main、大部分は修正済み | 入力サイズの制限 | 運用者の対応が必要 パッケージの更新 |
| Pandoc | 0件 | - | - | 該当なし |
| SQLite | 7件 | main、修正済み | SetFNサーバーはSQLiteをプログラムに組み込んで使用するため、システムパッケージの影響を受けない | 該当なし |
運用者が行う作業は、サーバーのセキュリティアップデートを点検するに整理しています。
KISAセキュリティ通知との照合
点検日：2026-10-23。2025-01-01から2026-10-22までにKISA（韓国インターネット振興院）が公開したセキュリティ通知463件をすべて確認しました。
- SetFN製品が直接影響を受ける通知：0件
- 運用環境によって該当する通知：32件
- 該当なし：431件
運用環境によって該当する通知は次のとおりです。
| コンポーネント | 通知数 | 代表的な通知 | ステータス |
|---|---|---|---|
| Linuxカーネル | 16件 | 権限昇格・メモリ破損（CVE-2025-21756、CVE-2026-31431など） | 運用者の対応が必要 |
| sudo | 1件 | ローカル権限昇格（CVE-2025-32463） | 運用者の対応が必要 |
| OpenSSL | 2件 | バッファオーバーフロー・整合性検証の不備（CVE-2025-15467、CVE-2026-34182など） | 運用者の対応が必要 SetFNサーバープログラムはシステムのOpenSSLを使用しない |
| snapd | 2件 | 権限昇格（CVE-2026-3888、CVE-2026-8933） | 運用者の対応が必要 |
| GRUB2 | 1件 | ブートローダーのメモリ破損（CVE-2025-0678など） | 運用者の対応が必要 |
| FFmpeg | 1件 | 範囲外書き込み（CVE-2026-8461） | 運用者の対応が必要 |
| FreeType | 1件 | 範囲外書き込み（CVE-2025-27363） | 運用者の対応が必要 |
| Docker | 3件 | Engineの認証バイパス（CVE-2026-34040）など | 運用者の対応が必要 Dockerで運用している場合 |
| Ollama | 1件 | 範囲外読み取り（CVE-2026-7482） | 運用者の対応が必要 ローカルAIを使用している場合 |
| nginxなどのWebサーバー | 4件 | ヒープオーバーフロー、HTTP/2のメモリ過剰割り当て（CVE-2026-49975） | 運用者の対応が必要 リバースプロキシを使用している場合 |
HTTP/2のサービス拒否の通知（CVE-2025-8671、MadeYouReset）は、Go公式の発表で影響がないことが確認されたため、該当なしに分類しました。
セキュリティ基準の自己点検
点検日：2026-10-23、2026-10-24更新。OWASP Top 10:2025、OWASP ASVS 5.0、NIST SP 800-63B-4、KISAのWeb脆弱性点検項目を基準に、37項目をコードで確認しました。適合20件、部分的に適合11件、改善が必要5件、該当なし1件です。
| 項目 | 基準 | ステータス |
|---|---|---|
| サーバー接続の時間制限（低速接続攻撃への対策） | OWASP A02、KISA サービス拒否 | 修正済み（リリース予定） |
| セキュリティ応答ヘッダー（クリックジャッキング防止、MIMEタイプ推測のブロック、Referrer-Policy、Permissions-Policy） | ASVS Webフロントエンド | 修正済み（リリース予定） |
| HTTPSの強制（HSTS） | ASVS セキュア通信、KISA データの平文送信 | 運用者の対応が必要 自己署名証明書の環境で接続がブロックされないように、HTTPSを処理するリバースプロキシで有効化 |
| よく使われる・流出したパスワードのブロック | NIST SP 800-63B-4 | 修正済み（リリース予定） |
| パスワードの組み合わせ規則の代わりに長さ中心のポリシー | NIST SP 800-63B-4 | 修正済み（リリース予定） 新規インストールの既定値（12文字以上、組み合わせの要求なし）。既存のサーバーは現在のルールを維持 |
| サーバー側でのパスワードポリシーの強制 | NIST SP 800-63B-4、ASVS 認証 | 改善予定 |
| 管理者の2段階認証（OTPなど） | NIST SP 800-63B-4、ASVS 認証 | 修正済み（リリース予定） 認証アプリ（TOTP）とリカバリーコード、必須ポリシー |
| 管理者のセキュリティ設定変更の監査記録 | OWASP A09、ASVS ログ | 修正済み（リリース予定） |
すでに適合と確認された項目には、CSRF防御、ログイン試行の制限とブロック、パスワード再設定コードの有効期限・1回限りの使用、パスワード変更・ログアウト時のセッション破棄、トークン署名アルゴリズムの固定、エラー応答での内部情報の非表示、アップロードファイルの隔離があります。