container-tools:4.0 security and bug fix update

以下項目について対処しました。

[Security Fix]
- go-toolset の net/http モジュールには、HTTP/1 クライアントとして
利用した場合に不正な Transfer-Encoding ヘッダを受信してしまう問題
があるため、リモートの攻撃者により、不正なヘッダの受信を拒否
しない中間サーバーを介して、HTTP スマグリング攻撃を可能とする
脆弱性が存在します。(CVE-2022-1705)

- go/parser モジュールの Parse 関数には、制限のない再帰実行により
スタックが枯渇する問題があるため、任意の go 言語のコードを実行
できる攻撃者により、深くネストされた型や宣言が実装されたコードの
実行を介して、パニックによるサービス拒否攻撃を可能とする脆弱性が
存在します。(CVE-2022-1962)

- go の net/http モジュールには、HTTP/2 接続のシャットダウン前に
致命的なエラーが発生した場合 HTTP/2 接続が無応答状態になる問題が
あるため、リモートの攻撃者により、サービス拒否攻撃を可能とする
脆弱性が存在します。(CVE-2022-27664)

- encoding/xml モジュールの Decoder.Skip 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者により、
深くネストされた XML ドキュメントを介して、パニックによるサービス
拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-28131)

- container-tools には、Podman コンテナエンジンの補助グループの処理
が不適切な問題があるため、影響を受けるコンテナに直接アクセス可能で、
そのコンテナ内でバイナリコードを実行可能な攻撃者により、機密情報
漏洩やデータの改変を可能とする脆弱性が存在します。(CVE-2022-2989)

- io/fs モジュールの Glob 関数には、制限のない再帰実行によりスタック
が枯渇する問題があるため、リモートの攻撃者により、大量のパス
セパレータを含むパスを介して、パニックによるサービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-30630)

- compress/gzip モジュールの Reader.Read 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者により、
連結された 0 バイトの圧縮ファイルを大量に含むアーカイブファイルを
介して、パニックによるサービス拒否攻撃を可能とする脆弱性が存在
します。(CVE-2022-30631)

- path/filepath モジュールの Glob 関数には、制限のない再帰実行により
スタックが枯渇する問題があるため、リモートの攻撃者により、大量の
パスセパレータを含むパスを介して、パニックによるサービス拒否攻撃
を可能とする脆弱性が存在します。(CVE-2022-30632)

- encoding/xml モジュールの Unmarshal 関数には、制限のない再帰実行
によりスタックが枯渇する問題があるため、リモートの攻撃者により、
any フィールドを持つネストされた構造体へのXML データの取り込み
処理を介して、パニックによるサービス拒否攻撃を可能とする脆弱性が
存在します。(CVE-2022-30633)

- encoding/gob モジュールの Decoder.Decode 関数には、制限のない
再帰実行によりスタックが枯渇する問題があるため、リモートの攻撃者
により、深くネストされた構造を持つメッセージを介して、パニックに
よるサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-30635)

- net/http モジュールには、リバースプロキシサーバーが X-Forwarded-For
ヘッダーにクライアント IP を設定してしまう問題があるため、
X-Forwarded-For ヘッダに nil 値を含む Request.Header マップを用いた
httputil.ReverseProxy.ServeHTTP 関数の呼び出しを介して、クライアント
の IP アドレスの不正な開示を可能とする脆弱性が存在します。
(CVE-2022-32148)

- go の math/big モジュールの Float 型および Rat 型をレシーバーとする
GobDecode 関数には、パニックの発生に至る問題があるため、リモート
の攻撃者により、短すぎる入力データを介して、サービス拒否攻撃を可能
とする脆弱性が存在します。(CVE-2022-32189)

- golang の net/http ライブラリには、大量のメモリを消費してしまう問題
があるため、リモートの攻撃者により、細工した HTTP/2 リクエストの
送信を介して、サービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-41717)

- Podman には、TOCTOU (Time-of-check Time-of-use) の問題がある
ため、悪意のある攻撃者により、エクスポート中にボリューム内の通常
のファイルをシンボリックリンクに置き換える手段を介して、ホストの
ファイルシステム上の任意のファイルへのアクセスを可能とする脆弱性
が存在します。(CVE-2023-0778)

Modularity name: container-tools
Stream name: 4.0