golang-1.17.12-1.el9, go-toolset-1.17.12-1.el9

以下項目について対処しました。

[Security Fix]
- compress/gzip モジュールの Reader.Read 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者に
より、連結された 0 バイトの圧縮ファイルを大量に含むアーカイブファ
イルを介して、パニックによるサービス拒否攻撃を可能とする脆弱性が
存在します。(CVE-2022-30631)

- go-toolset の net/http モジュールには、HTTP/1 クライアントとして
利用した場合に不正な Transfer-Encoding ヘッダを受信してしまう問題
があるため、リモートの攻撃者により、不正なヘッダの受信を拒否
しない中間サーバーを介して、HTTP スマグリング攻撃を可能とする
脆弱性が存在します。(CVE-2022-1705)

- go/parser モジュールの Parse 関数には、制限のない再帰実行により
スタックが枯渇する問題があるため、任意の go 言語のコードを実行
できる攻撃者により、深くネストされた型や宣言が実装されたコード
の実行を介して、パニックによるサービス拒否攻撃を可能とする脆弱性
が存在します。(CVE-2022-1962)

- encoding/xml モジュールの Decoder.Skip 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者に
より、深くネストされた XML ドキュメントを介して、パニックによる
サービス拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-28131)

- io/fs モジュールの Glob 関数には、制限のない再帰実行によりスタック
が枯渇する問題があるため、リモートの攻撃者により、大量のパスセパ
レータを含むパスを介して、パニックによるサービス拒否攻撃を可能と
する脆弱性が存在します。(CVE-2022-30630)

- path/filepath モジュールの Glob 関数には、制限のない再帰実行により
スタックが枯渇する問題があるため、リモートの攻撃者により、大量の
パスセパレータを含むパスを介して、パニックによるサービス拒否攻撃
を可能とする脆弱性が存在します。(CVE-2022-30632)

- encoding/xml モジュールの Unmarshal 関数には、制限のない再帰実行
によりスタックが枯渇する問題があるため、リモートの攻撃者により、
any フィールドを持つネストされた構造体へのXML データの取り込み
処理を介して、パニックによるサービス拒否攻撃を可能とする脆弱性が
存在します。(CVE-2022-30633)

- encoding/gob モジュールの Decoder.Decode 関数には、制限のない
再帰実行によりスタックが枯渇する問題があるため、リモートの攻撃者
により、深くネストされた構造を持つメッセージを介して、パニックに
よるサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-30635)

- net/http モジュールには、リバースプロキシサーバーが X-Forwarde
d-For ヘッダーにクライアント IP を設定してしまう問題があるため、
X-Forwarded-For ヘッダに nil 値を含む Request.Header マップを用
いた httputil.ReverseProxy.ServeHTTP 関数の呼び出しを介して、
クライアントの IP アドレスの不正な開示を可能とする脆弱性が存在
します。(CVE-2022-32148)