nodejs:18 security, bug fix, and enhancement update

以下項目について対処しました。

[Security Fix]
- Node.js の glob-parent パッケージには、リモートの攻撃者により、
特定パターンの文字列の入力を介して、正規表現によるサービス拒否
攻撃を可能とする脆弱性が存在します。(CVE-2021-35065)

- Node.js の http-cache-semantics パッケージには、リモートの攻撃者
により、悪意のあるリクエストヘッダー値の送信を介して、正規表現の
サービス拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-25881)

- Node.js の c-ares パッケージの ares_set_sortlist 関数には、入力
文字列の妥当性を確認しない問題があるため、リモートの攻撃者により、
細工された文字列の入力を介して、スタックオーバーフローの発生や
サービス拒否攻撃を可能とする脆弱性が存在します。(CVE-2022-4904)

- Node.js には、試験的な Permissions 機能をバイパスできる問題
があるため、リモートの攻撃者により、process.mainModule.require()
メソッドの利用を介して、認証されていないモジュールへのアクセスを
可能とする脆弱性が存在します。(CVE-2023-23918)

- Node.js には、OpenSSL のエラースタックを利用後にクリアしない
問題があるため、リモートの攻撃者により、同一スレッド上で実行される
暗号化処理を介して、サービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2023-23919)

- Node.js には、信頼できない検索パスの問題があるため、ローカルの
攻撃者により、昇格された権限での実行を介して、ICU データの検索と
ロードを可能とする脆弱性が存在します。(CVE-2023-23920)

- Node.js の undici パッケージには、host HTTP ヘッダーを CRLF
インジェクションから保護していない問題があるため、リモートの攻撃者
により、HTTP リクエスト分割攻撃や HTTP ヘッダーインジェクション
攻撃を可能とする脆弱性が存在します。(CVE-2023-23936)

- Node.js の undici パッケージの headerValueNormalize() 関数には、
値を標準化するための正規表現が効率的でない問題があるため、
リモートの攻撃者により、Headers.set() または Headers.append()
メソッドを巧妙に細工した引数で呼び出すことを介して、正規表現による
サービス拒否攻撃を可能とする脆弱性が存在します。(CVE-2023-24807)

Modularity name: nodejs
Stream name: 18