pki-core:10.6 security, bug fix, and enhancement update

以下項目について対処しました。
[Security Fix]
- jQuery には、クロスドメインにおける Ajax のリクエストが
dataType オプション無しで実行されるとき、
クロスサイトスクリプティングの脆弱性があります。(CVE-2015-9251)

- Bootstrap の data-target 属性 には、
クロスサイトスクリプティングの脆弱性があります。(CVE-2016-10735)

- Bootstrap の Collapse における data-parent 属性には、
クロスサイトスクリプティングの脆弱性があります。(CVE-2018-14040)

- Bootstrap の Tooltip における data-container プロパティーには、
クロスサイトスクリプティングの脆弱性があります。(CVE-2018-14042)

- pki-core には、CAエージェントサービスが証明書のリクエストページを
正しくサニタイズしないため、反射型のクロスサイトスクリプティング攻撃が
可能な問題があり、攻撃者がユーザーのブラウザ上で実行することが可能な、
巧妙に細工された値を挿入することができる脆弱性があります。(CVE-2019-10146)

- pki-core には、Key Recovery Authority (KRA) エージェントサービスがリクエストサーチページを
正しくサニタイズしないため、攻撃者が認証されたユーザーに、巧妙に細工された
Javascript コードを実行させる脆弱性があります。(CVE-2019-10179)

- pki-core の pki-ca モジュールには、GET URL パラメーターがサニタイズされないため、
反射型のクロスサイトスクリプティング攻撃が可能な問題があり、攻撃者は
ブラウザで開いたときに任意のコード実行が可能な、巧妙に細工されたリンクを
認証されたユーザーにクリックさせるためにクロスサイトスクリプティング攻撃を
乱用する脆弱性があります。(CVE-2019-10221)

- jQuery には、オブジェクトプロトタイプ汚染の問題があり、
jQuery.extend(true, {}, ...) を正しく扱わない脆弱性があります。(CVE-2019-11358)

- Bootstrap の Tooltip あるいは Popover における data-template 属性には、
クロスサイトスクリプティングの脆弱性があります。(CVE-2019-8331)

- jQuery には、たとえサニタイズされていたとしても、信頼されない
ソースからDOM Manipulation メソッド(.html() や .append() など)への
HTML を渡すことで、信頼されないコードを実行する可能性のある
脆弱性があります。(CVE-2020-11022)

- jQuery には、たとえサニタイズされていたとしても、信頼されないソースの
エレメントを含む HTML をjQuery の DOM 操作メソッドに渡す場合、信頼されない
コードを実行する可能性のある脆弱性があります。(CVE-2020-11023)

- Dogtag PKI の pki.client.PKIConnection クラスでは検証のパラメーターがすべての
リクエスト関数でハードコーディングされるため、設定を上書きすることが不可能と
なっているため、 python-requests の証明書の検証が無効になっています。
このため、pki-server コマンドなどを使って、ツールがこのクラスを使用しようとすると、
特定の non-localhost の場合に中間者攻撃を引き起こす可能性のある脆弱性があります。
(CVE-2020-15720)

現時点では CVE-2020-1721 の情報が公開されておりません。
CVE の情報が公開され次第情報をアップデートいたします。