container-tools:rhel8 security, bug fix, and enhancement update

以下項目について対処しました。

[Security Fix]
- go-toolset の net/http モジュールには、HTTP/1 クライアントとして
利用した場合に不正な Transfer-Encoding ヘッダを受信してしまう
問題があるため、リモートの攻撃者により、不正なヘッダの受信を
拒否しない中間サーバーを介して、HTTP スマグリング攻撃を可能と
する脆弱性が存在します。(CVE-2022-1705)

- go/parser モジュールの Parse 関数には、制限のない再帰実行により
スタックが枯渇する問題があるため、任意の go 言語のコードを実行
できる攻撃者により、深くネストされた型や宣言が実装されたコード
の実行を介して、パニックによるサービス拒否攻撃を可能とする脆弱性
が存在します。(CVE-2022-1962)

- go の net/http モジュールには、HTTP/2 接続のシャットダウン前に
致命的なエラーが発生した場合 HTTP/2 接続が無応答状態になる問題
があるため、リモートの攻撃者により、サービス拒否攻撃を可能とする
脆弱性が存在します。(CVE-2022-27664)

- encoding/xml モジュールの Decoder.Skip 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者に
より、深くネストされた XML ドキュメントを介して、パニックによる
サービス拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-28131)

- crypto/tls モジュールには、セッションチケットの ticket_age_add が
ランダム値でない問題があるため、TLS ハンドシェイクを観測できる
攻撃者により、ticket age の比較を介して、連続するコネクションの
関連付けを可能とする脆弱性が存在します。(CVE-2022-30629)

- io/fs モジュールの Glob 関数には、制限のない再帰実行によりスタック
が枯渇する問題があるため、リモートの攻撃者により、大量のパス
セパレータを含むパスを介して、パニックによるサービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-30630)

- compress/gzip モジュールの Reader.Read 関数には、制限のない
再帰実行によりスタックが枯渇する問題があるため、リモートの
攻撃者により、連結された 0 バイトの圧縮ファイルを大量に含む
アーカイブファイルを介して、パニックによるサービス拒否攻撃を
可能とする脆弱性が存在します。(CVE-2022-30631)

- path/filepath モジュールの Glob 関数には、制限のない再帰実行に
よりスタックが枯渇する問題があるため、リモートの攻撃者により、
大量のパスセパレータを含むパスを介して、パニックによるサービス
拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-30632)

- encoding/xml モジュールの Unmarshal 関数には、制限のない再帰
実行によりスタックが枯渇する問題があるため、リモートの攻撃者
により、any フィールドを持つネストされた構造体へのXML データ
の取り込み処理を介して、パニックによるサービス拒否攻撃を可能
とする脆弱性が存在します。(CVE-2022-30633)

- encoding/gob モジュールの Decoder.Decode 関数には、制限のない
再帰実行によりスタックが枯渇する問題があるため、リモートの
攻撃者により、深くネストされた構造を持つメッセージを介して、
パニックによるサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-30635)

- net/http モジュールには、リバースプロキシサーバーが X-Forwarded-For
ヘッダーにクライアント IP を設定してしまう問題があるため、
X-Forwarded-For ヘッダに nil 値を含む Request.Header マップを用いた
httputil.ReverseProxy.ServeHTTP 関数の呼び出しを介して、クライアント
の IP アドレスの不正な開示を可能とする脆弱性が存在します。
(CVE-2022-32148)

- go の math/big モジュールの Float 型および Rat 型をレシーバーと
する GobDecode 関数には、パニックの発生に至る問題があるため、
リモートの攻撃者により、短すぎる入力データを介して、サービス
拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-32189)

- golang の net/http ライブラリには、大量のメモリを消費してしまう
問題があるため、リモートの攻撃者により、細工した HTTP/2 リクエスト
の送信を介して、サービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-41717)

- Podman には、TOCTOU (Time-of-check Time-of-use) の問題がある
ため、悪意のある攻撃者により、エクスポート中にボリューム内の通常
のファイルをシンボリックリンクに置き換える手段を介して、ホストの
ファイルシステム上の任意のファイルへのアクセスを可能とする脆弱性
が存在します。(CVE-2023-0778)

Modularity name: container-tools
Stream name: rhel8