Rapportera en sårbarhet

Mejla feedback@privera.se. Telefon 076 926 35 70 besvaras i mån av möjlighet. Inkorgen bevakas helgfria vardagar.

Policyn gäller Windows-programmet Privera, licensservern licens.privera.se och webbplatsen privera.se.

Beskriv hur felet kan återskapas, med påhittade uppgifter. Skicka inte dokument med verkliga personuppgifter. Vi har ingen krypteringsnyckel för e-post i dag.

• Vi bekräftar mottagandet inom 2 arbetsdagar.
• Vi gör en första bedömning inom 5 arbetsdagar och berättar vilken allvarlighetsgrad vi har satt och när vi räknar med att rätta.
• Allvarlighetsgraden sätts med CVSS. En uppgift som programmet visar som maskerad men som finns kvar i den exporterade filen räknas alltid som minst hög.

Fastställda 2026-10-23. Räknas från att bedömningen är klar.

• Kritisk (CVSS 9,0 till 10,0): 7 dagar
• Hög (7,0 till 8,9): 30 dagar
• Medel (4,0 till 6,9): 90 dagar
• Låg: nästa planerade version, senast 180 dagar

Går en rättning inte att leverera i tid räknas en publicerad skyddsåtgärd som åtgärd. Hinner vi inte heller det meddelar vi dig skälet och en ny tidpunkt. Rättningar levereras som en signerad version via programmets uppdateringsfunktion. Endast den senaste versionen får rättningar.

• Vi publicerar inga detaljer förrän en rättning finns eller 90 dagar har gått från din rapport. Tidpunkten kan ändras i samråd med dig.
• Vi nämner dig i säkerhetsmeddelandet om du vill.
• Vi har inget belöningsprogram.
• Den som i god tro följer den här policyn polisanmäls inte av Itha AB. Testa inte mot andras licenser eller data, överbelasta inte licens.privera.se och använd inte verkliga personuppgifter.

Att den automatiska detektionen missar en uppgift som aldrig markerades är ett kvalitetsfel. Detektionen hittar inte allt, och dokumentet ska alltid granskas före export. Rapportera gärna sådana fel till support@privera.se.

Rättade sårbarheter av grad medel eller högre redovisas här och mejlas till den adress som angavs vid köpet. Andra kanaler för säkerhetsmeddelanden finns inte.

Vid en aktivt utnyttjad sårbarhet eller en allvarlig incident underrättar vi berörda kunder utan onödigt dröjsmål. Den tidiga varningen ges senast 24 timmar efter att vi fått kännedom, räknat under helgfria vardagar. Får vi kännedom en lördag, söndag, helgdag, midsommarafton, julafton eller nyårsafton ges den senast klockan 12 närmast följande helgfria vardag. Fristerna blir avtalsvillkor först när en kund har undertecknat säkerhetsbilagan till avtalet, som är ett utkast för juristgranskning.

Sådana händelser ska enligt EU:s cyberresiliensförordning (EU 2024/2847, artikel 14) rapporteras via ENISA:s gemensamma rapporteringsplattform, som förmedlar dem till CERT-SE, med en tidig varning inom 24 timmar. Den fristen gäller alla dagar, men säkerhetsärenden hanteras av en person utan jour, så vi kan inte garantera den för en händelse som inträffar på en helg eller helgdag. Enligt ENISA:s anvisning registrerar sig tillverkaren i plattformen när en anmälan ska göras, inte i förväg.

Publicerade säkerhetsmeddelanden: PRIVERA-SA-2026-001 och PRIVERA-SA-2026-002, båda 2026-11-12. De står här nedanför.

• Publicerat: 2026-11-12
• Berörda versioner: 0.9.0-beta22 och äldre
• Rättad version: 0.9.0-beta23
• Allvarlighetsgrad: Kritisk. CVSS 3.1 ger 4,7 (AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N), men graden är Kritisk enligt vår egen skala, eftersom en uppgift som programmet visar som maskerad kan synas i den exporterade filen.
• Hittad av: Itha AB:s egen granskning 2026-10-29

En inskannad sida kan redan ha ett osynligt textlager, som skannern eller ett annat program har lagt dit. Ligger det textlagret snett eller förskjutet mot bilden lade Privera maskeringsrutan där textlagret låg, inte där texten syns i bilden. Delar av uppgiften kunde då synas bredvid rutan i den exporterade filen. Vid en förskjutning på några millimeter syntes enstaka siffror ur till exempel ett personnummer. Vid en större förskjutning kunde hela uppgiften synas. Programmets läckkontroll upptäckte inte felet, och inget varnade.

Dokument med riktig text, alltså sådana som inte är inskannade, berörs inte. I vår testsamling med 271 offentliga kommunala handlingar hade 28 ett textlager över en inskannad bild. I 21 av dem låg textlagret så fel att bläck stack ut utanför rutan för minst ett ord.

Det här ska du göra:

• Uppdatera till 0.9.0-beta23. Programmet hämtar uppdateringen själv, och installern finns på privera.se/download/.
• Kontrollera filer som du tidigare har exporterat från inskannade dokument. Öppna den maskerade filen och titta på rutorna på de inskannade sidorna. Syns delar av tecken bredvid en ruta ska du maskera originalet på nytt med 0.9.0-beta23 och ersätta den gamla filen.
• Har en sådan fil redan lämnats ut avgör du som personuppgiftsansvarig om det är en personuppgiftsincident hos er.

Det som finns kvar: ligger textlagret mer än ungefär tre radhöjder fel i höjdled kan ett namn fortfarande synas, eftersom rutan hamnar över fel ord, också i 0.9.0-beta23. Personnummer och e-postadresser är täta i det fallet. Organisationsnummer, telefonnummer och bankgironummer har vi inte provat där. Det rättas i en kommande version. Granska alltid inskannade sidor i den exporterade filen innan den lämnas ut.

Bedömningen var klar 2026-10-30, och vår tidsram för en kritisk sårbarhet är 7 dagar. Den hölls inte: rättningen kom 13 dagar efter bedömningen.

• Publicerat: 2026-11-12
• Berörda versioner: 0.9.0-beta22 och äldre
• Rättad version: 0.9.0-beta23
• Allvarlighetsgrad: Kritisk (Pillow), Hög (certifi), Medel (filelock). Itha AB har inte satt en egen CVSS-vektor; se rådgivningarna för respektive bibliotek i GitHub Advisory Database.
• Hittad av: Itha AB:s första kontroll av motorns Python-paket mot sårbarhetsdatabasen OSV, 2026-10-29

Tre bibliotek i 0.9.0-beta22 hade kända sårbarheter som bibliotekens utgivare har rättat:

• Pillow 12.3.0 (bildhantering), 40 kända sårbarheter. Flera är minnesfel i avkodarna för JPEG, TIFF, WMF/EMF och JPEG 2000. Privera öppnar bilder ur de dokument som granskas med Pillow, så ett dokument med en särskilt framtagen bild kan nå felen. Vi har inte provat om något av dem går att använda för att köra kod i Privera, och vi känner inte till att något har utnyttjats. Eftersom kodkörning via en öppnad fil inte kan uteslutas bedömer vi graden som Kritisk. Rättat med Pillow 13.0.0.
• certifi 2026.7.22 (rotcertifikat). Samlingen innehöll rotcertifikat från en utfärdare vars nycklar har röjts. Motorn använder certifi när språkmodellen hämtas första gången. En angripare med en plats i nätet mellan datorn och Hugging Face hade kunnat lämna andra modellfiler. Rättat med certifi 2026.10.23.
• filelock 3.32.6 (fillås vid modellhämtningen), 13 kända sårbarheter som alla kräver en annan användare på samma dator. Rättat med filelock 4.2.10.

Samtidigt är setuptools höjt till 84.2.1, för en känd sårbarhet av låg grad som inte kan nås i Privera hos kunden.

Det här ska du göra: uppdatera till 0.9.0-beta23. Tidigare exporterade filer påverkas inte och behöver inte kontrolleras.

Fynden gjordes 2026-10-29. Tidsramen för en kritisk sårbarhet är 7 dagar från bedömningen. Den hölls inte för Pillow: rättningen kom 13 dagar efter att förslaget till bedömning var klart.

Säkerhetsuppdateringar ingår i abonnemanget. Nuvarande version är en beta före 1.0, och betan får säkerhetsrättningar fram till att 1.0 ges ut. Från version 1.0 ges säkerhetsrättningar i 5 år, och vi varslar minst 6 månader innan supporten för Privera upphör. Version 1.0 är inte utgiven och har inget fastställt datum. Rättningar ges i den senaste versionen, som ingår i abonnemanget.