container-tools security and bug fix update, python-podman-4.2.0-1.el9, toolbox-0.0.99.3-5.el9

以下項目について対処しました。

[Security Fix]
- go の x/text/language モジュールの ParseAcceptLanguage 関数には、
範囲外配列要素へのアクセスによってパニックの発生に至る問題がある
ため、リモートの攻撃者により、HTTP Accept-Language ヘッダーの
-u- 拡張のパース処理を介して、サービス拒否攻撃を可能とする脆弱性
が存在します。(CVE-2020-28851)

- go の x/text/language モジュールの ParseAcceptLanguage 関数には、
スライス境界外アクセスによってパニックの発生に至る問題があるため、
リモートの攻撃者により、HTTP Accept-Language ヘッダーの BCP 47
タグのパース処理を介して、サービス拒否攻撃を可能とする脆弱性が
存在します。(CVE-2020-28852)

- Podman で実行されるルートレスコンテナーは、ソース IP アドレス
が 127.0.0.1 であるトラフィックを、リモートホストからのも含め、
すべて受信する問題があり、デフォルトで localhost (127.0.0.1) からの
通信を信頼し認証を要求しないコンテナー化されたアプリケーションに
影響する脆弱性があります。(CVE-2021-20199)

- containers/storage には、コンテナイメージ実行時にそれぞれの
レイヤが tar によってアンパックされる際に、レイヤーの 1 つが
有効な tar アーカイブでない場合、コードがtar の解凍された
ストリームを無期限に待機するという予期しないエラーが発生する
問題があり、攻撃者が巧妙に細工された悪意のあるイメージを利用
して、サービス拒否につながるデッドロックを引き起こす脆弱性が
あります。(CVE-2021-20291)

- Go の DNS 検索用関数には、DNS サーバーからのリプライを検証
しない問題があるため、戻り値に RFC1035 フォーマットに適合しない
安全でないインジェクションを含ませることによって、例えばクロス
サイトスクリプティングのような攻撃を受ける脆弱性があります。
(CVE-2021-33195)

- Go の net/http/httputil からの ReverseProxy の設定によっては、
攻撃者によって任意のヘッダがドロップされる脆弱性があります。
(CVE-2021-33197)

- Go には math/big.Rat の SetStringメソッド、または UnmarshalText
メソッドへ大きな指数を指定するとパニックが発生する脆弱性があり
ます。(CVE-2021-33198)

- Go の crypto/tls には、RSA ベースの鍵交換を行う際に、X.509 証明書
の公開鍵のタイプが期待されたタイプと一致しているかどうかを適切に
アサートしない問題があり、悪意のある TLS サーバーが TLS クライ
アントにパニックを発生させる脆弱性があります。(CVE-2021-34558)

- Podman の podman machine コマンドには、内部で利用している
gvproxy プロセスがすべての IP アドレスからのポート番号 7777 宛の
通信を受け付けてしまう問題があるため、外部からポート番号 7777
宛の通信をファイアウォールで開放している環境において、リモート
の攻撃者により、gvproxy の API を利用した当該ポート番号宛通信の
コンテナへの転送を介して、コンテナが内部向けに提供している
サービスの意図しない外部公開を可能とする脆弱性が存在します。
(CVE-2021-4024)

- Go の golang.org/x/crypto/ssh モジュールには、不完全な暗号アルゴ
リズム使用の問題があるため、リモートの攻撃者により、サーバーの
クラッシュを可能とする脆弱性が存在します。(CVE-2022-27191)

- container-tools には、Podman コンテナエンジンの補助グループの
処理が不適切な問題があるため、影響を受けるコンテナに直接アクセス
可能で、そのコンテナ内でバイナリコードを実行可能な攻撃者により、
機密情報漏洩やデータの改変を可能とする脆弱性が存在します。
(CVE-2022-2989)

- Buildah コンテナエンジンには、補助グループの処理に不具合がある
ため、影響を受けるコンテナに直接アクセス可能で、そのコンテナ内で
バイナリコードを実行可能なローカルの攻撃者により、機密情報漏洩や
データの改変を可能とする脆弱性が存在します。(CVE-2022-2990)

- io/fs モジュールの Glob 関数には、制限のない再帰実行によりスタック
が枯渇する問題があるため、リモートの攻撃者により、大量のパス
セパレータを含むパスを介して、パニックによるサービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-30630)

- compress/gzip モジュールの Reader.Read 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者に
より、連結された 0 バイトの圧縮ファイルを大量に含むアーカイブ
ファイルを介して、パニックによるサービス拒否攻撃を可能とする
脆弱性が存在します。(CVE-2022-30631)

- path/filepath モジュールの Glob 関数には、制限のない再帰実行に
よりスタックが枯渇する問題があるため、リモートの攻撃者により、
大量のパスセパレータを含むパスを介して、パニックによるサービス
拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-30632)

- go-toolset の net/http モジュールには、HTTP/1 クライアントとして
利用した場合に不正な Transfer-Encoding ヘッダを受信してしまう問題
があるため、リモートの攻撃者により、不正なヘッダの受信を拒否しない
中間サーバーを介して、HTTP スマグリング攻撃を可能とする脆弱性が
存在します。(CVE-2022-1705)