서버 보안 업데이트 점검하기

SetFN 업데이트는 SetFN 서버 프로그램과 그 안에 포함된 라이브러리의 보안 수정을 담습니다. SetFN이 실행되는 운영체제와, SetFN이 문서 미리보기·변환·문자 인식(OCR)에 호출하는 외부 프로그램은 서버 운영자가 직접 업데이트해야 합니다.

이 문서에서는 KISA 보호나라 보안 공지와 주요 취약점(CVE) 점검 결과를 바탕으로, 운영자가 확인할 항목과 명령을 안내합니다. 예시는 Ubuntu 24.04 LTS 기준입니다.

시작하기 전에

• 서버에 sudo 권한이 있는 계정으로 접속해야 합니다.
• 커널이 업데이트되면 서버를 다시 시작해야 적용됩니다. 사용자가 적은 시간에 작업합니다.

운영체제 패키지 업데이트하기

1. 터미널에서 패키지 목록을 갱신하고 보안 업데이트를 설치합니다.

   sudo apt update
   sudo apt upgrade
   

2. 다시 시작이 필요한지 확인합니다. 파일이 있으면 다시 시작이 필요합니다.

   ls /var/run/reboot-required
   

3. 다시 시작한 뒤 SetFN이 정상적으로 실행되는지 확인합니다.

다음 구성 요소는 2025년 이후 KISA가 보안 업데이트를 권고한 항목입니다. 위 명령으로 함께 업데이트됩니다.

문서 처리 프로그램 확인하기

SetFN은 사용자가 올린 파일의 미리보기, 변환, 문자 인식에 다음 프로그램을 사용합니다. 이 프로그램들은 외부에서 받은 파일을 직접 읽으므로 보안 업데이트를 미루지 않습니다.

Ubuntu Pro로 universe 패키지 보안 수정 받기

Ubuntu 24.04에서 LibreOffice, Poppler, libheif는 main 저장소 패키지라 sudo apt upgrade로 보안 수정이 설치됩니다. libvips, Tesseract, MuPDF, Pandoc, ImageMagick, FFmpeg는 universe 저장소 패키지입니다. 2025년 이후 공개된 이 패키지들의 심각도 높음(High) 이상 취약점 수정은 Ubuntu Pro의 esm-apps로만 제공되었습니다.

이 프로그램들을 사용한다면 Ubuntu Pro에 서버를 연결합니다.

1. Ubuntu Pro에서 토큰을 발급받습니다.
2. 서버에서 다음 명령을 실행합니다.

   sudo pro attach <토큰>
   sudo pro enable esm-apps
   sudo apt update
   sudo apt upgrade
   

3. pro status에서 esm-apps가 enabled로 표시되는지 확인합니다.

필요 없는 문서 처리 프로그램 줄이기

• MuPDF(mupdf-tools): Poppler(poppler-utils)가 설치되어 있으면 SetFN은 MuPDF를 사용하지 않습니다. MuPDF에는 Ubuntu 24.04에서 아직 수정되지 않은 취약점(CVE-2026-3308)이 있으므로 설치하지 않는 것을 권장합니다. 이미 설치했다면 sudo apt remove mupdf-tools로 제거할 수 있습니다.
• ImageMagick, FFmpeg: 설치되어 있지 않으면 SetFN은 해당 변환과 동영상 썸네일 기능만 사용하지 않습니다. 사용하지 않는다면 설치하지 않습니다.
• FFmpeg 8.x: 직접 빌드했거나 별도 저장소에서 설치했다면 8.0.3 또는 8.1.2 이상으로 업데이트합니다(CVE-2026-8461).

LibreOffice의 Java 사용

LibreOffice에는 문서 안의 외부 데이터 연결이 원격 Java 드라이버를 불러올 수 있는 취약점(CVE-2026-63277)이 공지되었고, Ubuntu 24.04 패키지에는 아직 수정이 반영되지 않았습니다(2026-10-23 확인). SetFN은 문서를 변환할 때 매번 새 LibreOffice 프로필을 만들고 이 프로필에서 매크로와 외부 링크 갱신을 끕니다. 2026-10-23 점검에서 수정한 다음 업데이트부터는 같은 프로필에서 Java 사용도 끕니다. 다른 용도로 Java가 필요하지 않다면 서버에서 Java 런타임을 제거해 위험을 더 줄일 수 있습니다.

Docker로 운영할 때 확인하기

Docker로 SetFN을 운영한다면 다음 버전 이상인지 확인합니다.

역프록시를 사용할 때 확인하기

SetFN 앞에 nginx 같은 역프록시를 두고 HTTPS를 처리한다면 역프록시도 보안 업데이트 대상입니다.

• nginx 오픈 소스는 1.30.4 또는 1.31.3 이상을 권장합니다. 배포판 패키지는 배포판 보안 업데이트로 수정 사항이 반영됩니다.
• HTTP/2를 켠 웹 서버에서 과도한 메모리를 쓰게 하는 공격(CVE-2026-49975)이 공지되었습니다. 사용하는 웹 서버의 수정 버전을 적용합니다.
• 공인 인증서로 HTTPS를 운영한다면 역프록시에서 HSTS(Strict-Transport-Security) 헤더를 켭니다. SetFN 서버는 자체 서명 인증서를 쓰는 사내망 설치에서 접속이 막히지 않도록 HSTS를 직접 보내지 않습니다.

로컬 AI(Ollama)를 사용할 때 확인하기

SetFN과 같은 서버에서 Ollama로 로컬 AI 모델을 실행한다면 다음을 확인합니다.

1. ollama --version으로 버전을 확인하고 0.17.1 이상으로 업데이트합니다(CVE-2026-7482).
2. Ollama API가 외부에 열려 있지 않은지 확인합니다. SetFN과 같은 서버에서만 쓴다면 OLLAMA_HOST를 0.0.0.0으로 설정하지 않습니다.
3. 다른 서버에서 Ollama에 접속해야 한다면 방화벽으로 SetFN 서버의 주소만 허용합니다.

관리자 2단계 인증 키 백업하기

관리자 2단계 인증을 쓰는 서버는 인증 정보를 보호하는 암호화 키를 설정 폴더의 secrets/admin-mfa/에 저장합니다. 서버를 백업하거나 이전할 때 이 폴더를 함께 복사합니다. 복원한 서버에 이 키가 없으면 모든 관리자의 2단계 인증 확인이 실패하므로, user mfa reset 명령으로 관리자별 2단계 인증을 초기화한 뒤 다시 등록해야 합니다. 자세한 내용은 관리자 2단계 인증 설정하기를 참고하세요.

외부 AI 연동을 사용할 때 확인하기

외부 AI 연동(AP 브리지)이 SetFN의 /api/ai-proxy를 호출한다면, SetFN 서버와 연동 프로그램 양쪽에 같은 SETFN_AI_PROXY_TOKEN 값을 환경 변수로 설정합니다. 2026-10-23 보안 점검 이후 버전부터는 토큰 없이 같은 서버에서 보낸 요청만으로는 이 경로를 사용할 수 없습니다.

알아두기

• SetFN이 직접 영향받는 보안 문제는 SetFN 업데이트로 수정됩니다. SetFN도 최신 버전을 유지합니다.
• 각 공지의 SetFN 해당 여부와 점검 상태는 주요 취약점 점검 현황에서 확인할 수 있습니다.
• 관리자 페이지 접근을 특정 IP로 제한하면 외부 공격 위험을 더 줄일 수 있습니다. IP 접근 제한을 참고하세요.

관련 문서

• 보안 점검과 업데이트 방식 알아보기
• 주요 취약점 점검 현황
• Linux에 설치하기