주요 취약점 점검 현황

이 문서는 2025년 이후 공개된 주요 취약점(CVE)과 KISA 보호나라 보안 공지가 SetFN에 해당하는지, 점검과 조치를 마쳤는지 정리합니다. 새 점검을 할 때마다 갱신하며, 점검 날짜는 각 표 위에 표시합니다.

상태 표기

상태	의미
`조치 완료`	수정이 이미 배포된 SetFN 버전에 들어 있습니다.
`수정 완료(배포 예정)`	수정과 확인을 마쳤고 다음 SetFN 업데이트에 포함됩니다.
`수정 중`	원인을 확인했고 수정하고 있습니다.
`개선 예정`	위험을 줄이기 위한 기능 개선을 계획하고 있습니다.
`해당 없음`	SetFN이 해당 구성 요소나 기능을 사용하지 않거나 영향받는 경로가 없습니다.
`운영자 조치 필요`	SetFN을 설치한 서버의 운영체제나 외부 프로그램을 운영자가 업데이트해야 합니다.

SetFN 서버 라이브러리

점검일: 2026-10-23. Go 공식 취약점 데이터베이스(govulncheck)로 SetFN 서버 코드가 실제로 호출하는 취약점을 확인했습니다.

구성 요소	취약점	내용	상태
Go 표준 라이브러리	GO-2026-6809	손상된 중간 인증서를 신뢰하지 않도록 변경	`수정 완료(배포 예정)` Go 1.26.10
golang.org/x/net	GO-2026-6617, 6612, 6611, 6603, 5030, 5029, 5028, 5027, 5025	HTTP/2 서버 중단·메모리 고갈, HTML 해석 오류	`수정 완료(배포 예정)` 0.60.0
golang.org/x/image	GO-2026-6222, 5066, 5062, 5061, 5032, 5031, 4961, 4815	TIFF·WebP·BMP 이미지 해석 중 메모리 고갈·중단	`수정 완료(배포 예정)` 0.45.0
excelize (엑셀 처리)	GO-2026-6689, 6688, 6685, 6684, 6453, 6452, 5960, 6695	조작된 엑셀 파일로 인한 메모리 고갈·중단	`수정 완료(배포 예정)`
golang.org/x/text	GO-2026-6629, 5970	조작된 입력으로 인한 중단·무한 반복	`수정 완료(배포 예정)` 0.42.0
gRPC	GO-2026-6348, 6061, 6443	HTTP/2 전송 메모리 고갈 등	`수정 완료(배포 예정)` 1.83.2
gorilla/websocket	GO-2026-6278	마스크 키 생성에 약한 난수 사용	`수정 완료(배포 예정)` 1.5.3
golang-jwt	GO-2025-3553, GO-2024-3250	토큰 헤더 해석 메모리 과다 사용, 오류 처리	`수정 완료(배포 예정)` 4.5.2
ulikunitz/xz	GO-2025-3922	손상된 압축 파일 해제 시 메모리 누수	`수정 완료(배포 예정)` 0.5.15
klauspost/compress, edwards25519	GO-2026-5841, 4503	압축·서명 라이브러리 결함(SetFN 호출 경로 없음)	`수정 완료(배포 예정)`
mholt/archiver v3, nwaples/rardecode	GO-2025-3605, GO-2024-2698, GO-2025-4020	압축 해제 경로 조작 등. 수정판이 없는 라이브러리	`수정 완료(배포 예정)` 라이브러리를 제거하고 자체 압축 모듈로 교체
pion/dtls v2	GO-2026-4479	암호화 nonce 생성 결함. 수정판 없음	`수정 완료(배포 예정)` 의존 라이브러리 교체로 제거

수정 후 다시 검사한 결과, SetFN 서버 코드가 호출하는 알려진 취약점은 없습니다.

웹 화면 라이브러리

점검일: 2026-10-23. npm 보안 권고로 브라우저에서 실행되는 라이브러리를 검사했습니다. 빌드 도구처럼 배포 화면에 포함되지 않는 라이브러리는 제외했습니다.

구성 요소	내용	상태
prosemirror-view (문서 편집기)	붙여넣은 HTML로 스크립트가 실행될 수 있음	`수정 완료(배포 예정)` 1.42.7
pdf.js (PDF 보기)	조작된 PDF로 스크립트가 실행될 수 있음	`수정 완료(배포 예정)` 6.4.299
Tiptap (문서 편집기)	특정 입력에서 정규식 처리 시간 과다	`수정 완료(배포 예정)` 3.32.0
markdown-it, linkify-it (Markdown 보기)	조작된 Markdown 문서로 화면이 멈춤	`수정 완료(배포 예정)` 14.3.3, 5.0.2
js-yaml (머리말 해석)	조작된 YAML로 처리 시간 과다	`수정 완료(배포 예정)` 4.3.2
DOMPurify (HTML 정화)	SetFN이 사용하지 않는 옵션에서의 우회	`수정 완료(배포 예정)` 3.4.17
@xmldom/xmldom (동영상 재생 보조)	XML 해석 결함	`수정 완료(배포 예정)` 0.8.15
TinyMCE 6 (메일 편집기)	조작된 HTML로 스크립트가 실행될 수 있음(4건은 7.x에서만 수정)	`수정 완료(배포 예정)` TinyMCE 제거. 단체 안내 메일 편집기를 Tiptap으로 교체(2026-10-24)
TinyMCE 6 (HTML 파일 편집기)	위와 같음	`수정 완료(배포 예정)` TinyMCE 제거. HTML 파일은 원본 코드로만 편집(2026-10-24)

문서 처리 외부 프로그램

점검일: 2026-10-23. SetFN이 미리보기·변환·문자 인식에 호출하는 프로그램의 2025년 이후 심각도 높음(High, CVSS 7.0) 이상 취약점과 Ubuntu 24.04 LTS의 수정 상태입니다.

프로그램	2025년 이후 High 이상	Ubuntu 24.04 수정 경로	SetFN 조치	상태
LibreOffice	7건	`main` 패키지, 1건 미수정(CVE-2026-63277)	변환할 때마다 새 프로필을 만들고 매크로·외부 링크 갱신·Java 사용을 끔	`수정 완료(배포 예정)` Java 차단 추가, `운영자 조치 필요` 패키지 업데이트
MuPDF	5건	`universe`, 미수정(CVE-2026-3308)	Poppler가 있으면 사용하지 않음. 설치하지 않도록 안내	`운영자 조치 필요`
libvips	12건	`universe`, 수정은 Ubuntu Pro 전용	입력 크기·픽셀 수 제한, 시간 제한	`운영자 조치 필요`
ImageMagick	90건	`universe`, 수정은 Ubuntu Pro 전용	설치된 경우에만 사용	`운영자 조치 필요`
FFmpeg	약 53건	`universe`, 수정은 Ubuntu Pro 전용	동영상 썸네일만 사용, 허용 프로토콜 제한	`운영자 조치 필요`
Tesseract	6건	`universe`, 수정은 Ubuntu Pro 전용	사용자가 OCR 모델 파일을 바꿀 수 없음	`운영자 조치 필요`
Poppler	2건	`main`, 수정됨	-	`운영자 조치 필요` 패키지 업데이트
libheif, libde265	23건	`main`, 대부분 수정됨	입력 크기 제한	`운영자 조치 필요` 패키지 업데이트
Pandoc	0건	-	-	`해당 없음`
SQLite	7건	`main`, 수정됨	SetFN 서버는 SQLite를 프로그램 안에 포함해 사용하므로 시스템 패키지의 영향을 받지 않음	`해당 없음`

운영자가 할 일은 서버 보안 업데이트 점검하기에 정리되어 있습니다.

KISA 보호나라 보안 공지 대조

점검일: 2026-10-23. 2025-01-01부터 2026-10-22까지 KISA 보호나라에 게시된 보안 공지 463건을 모두 확인했습니다.

SetFN 제품이 직접 영향받는 공지: 0건
운영 환경에 따라 해당하는 공지: 32건
해당 없음: 431건

운영 환경에 따라 해당하는 공지는 다음과 같습니다.

구성 요소	공지 수	대표 공지	상태
리눅스 커널	16건	권한 상승·메모리 손상(CVE-2025-21756, CVE-2026-31431 등)	`운영자 조치 필요`
sudo	1건	로컬 권한 상승(CVE-2025-32463)	`운영자 조치 필요`
OpenSSL	2건	버퍼 오버플로·무결성 검증 미흡(CVE-2025-15467, CVE-2026-34182 등)	`운영자 조치 필요` SetFN 서버 프로그램은 시스템 OpenSSL을 사용하지 않음
snapd	2건	권한 상승(CVE-2026-3888, CVE-2026-8933)	`운영자 조치 필요`
GRUB2	1건	부트로더 메모리 손상(CVE-2025-0678 등)	`운영자 조치 필요`
FFmpeg	1건	범위 밖 쓰기(CVE-2026-8461)	`운영자 조치 필요`
FreeType	1건	범위 밖 쓰기(CVE-2025-27363)	`운영자 조치 필요`
Docker	3건	Engine 인증 우회(CVE-2026-34040) 등	`운영자 조치 필요` Docker로 운영하는 경우
Ollama	1건	범위 밖 읽기(CVE-2026-7482)	`운영자 조치 필요` 로컬 AI를 쓰는 경우
nginx 등 웹 서버	4건	힙 오버플로, HTTP/2 메모리 과다 할당(CVE-2026-49975)	`운영자 조치 필요` 역프록시를 쓰는 경우

HTTP/2 서비스 거부 공지(CVE-2025-8671, MadeYouReset)는 Go 공식 발표에서 영향이 없는 것으로 확인되어 해당 없음으로 분류했습니다.

보안 기준 자체 점검

점검일: 2026-10-23, 2026-10-24 갱신. OWASP Top 10:2025, OWASP ASVS 5.0, NIST SP 800-63B-4, KISA 웹 취약점 점검 항목을 기준으로 37개 항목을 코드로 확인했습니다. 적합 20개, 부분 적합 11개, 개선 필요 5개, 해당 없음 1개입니다.

항목	기준	상태
서버 연결 시간 제한(느린 연결 공격 대비)	OWASP A02, KISA 서비스 거부	`수정 완료(배포 예정)`
보안 응답 헤더(클릭재킹 방지, MIME 추측 차단, Referrer-Policy, Permissions-Policy)	ASVS 웹 프런트엔드	`수정 완료(배포 예정)`
HTTPS 강제(HSTS)	ASVS 보안 통신, KISA 데이터 평문 전송	`운영자 조치 필요` 자체 서명 인증서 환경에서 접속이 막히지 않도록 HTTPS를 처리하는 역프록시에서 켬
흔한·유출 비밀번호 차단	NIST SP 800-63B-4	`수정 완료(배포 예정)`
비밀번호 조합 규칙 대신 길이 중심 정책	NIST SP 800-63B-4	`수정 완료(배포 예정)` 새 설치 기본값(12자 이상, 조합 요구 없음). 기존 서버는 현재 규칙 유지
서버 측 비밀번호 정책 강제	NIST SP 800-63B-4, ASVS 인증	`개선 예정`
관리자 2단계 인증(OTP 등)	NIST SP 800-63B-4, ASVS 인증	`수정 완료(배포 예정)` 인증 앱(TOTP)과 복구 코드, 필수 정책
관리자 보안 설정 변경 감사 기록	OWASP A09, ASVS 로그	`수정 완료(배포 예정)`

이미 적합으로 확인된 항목에는 CSRF 방어, 로그인 시도 제한과 차단, 비밀번호 재설정 코드의 만료·1회 사용, 비밀번호 변경·로그아웃 시 세션 폐기, 토큰 서명 알고리즘 고정, 오류 응답의 내부 정보 숨김, 업로드 파일 격리가 있습니다.