container-tools:4.0 security update

以下項目について対処しました。

[Security Fix]
- go の net/http モジュールには、HTTP/2 接続のシャットダウン
前に致命的なエラーが発生した場合 HTTP/2 接続が無応答状態に
なる問題があるため、リモートの攻撃者により、サービス拒否
攻撃を可能とする脆弱性が存在します。(CVE-2022-27664)

- golang の Reader モジュールの Read 関数には、対象とする
ファイルのヘッダーの最大サイズを制限していない問題がある
ため、リモートの攻撃者により、細工されたアーカイブファイル
による無制限のメモリ割り当てを介して、リソースの枯渇および
パニックの発生を可能とする脆弱性が存在します。
(CVE-2022-2879)

- golang には、リバースプロキシから転送されたクエリを含む
リクエストの Go プロキシの処理に問題があるため、リモートの
攻撃者により、net/http モジュールによって拒否された解析不能
なパラメーターを含むリクエストを介して、HTTP リクエスト
スマグリング攻撃を可能とする脆弱性が存在します。
(CVE-2022-2880)

- golang の regexp モジュールには、信頼できない情報元から
入力された正規表現をコンパイルする際に大量のメモリを消費
してしまう問題があるため、リモートの攻撃者により、細工
された正規表現の入力を介して、メモリの枯渇とそれに起因
するサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-41715)

- Go には、証明書チェーン内に含まれる RSA キーの検証に
大量の CPU リソースを消費してしまう問題があるため、
リモートの攻撃者により、非常に大きなサイズの RSA キー
を含むように細工された証明書を介して、サービス拒否攻撃
(CPU リソース枯渇) を可能とする脆弱性が存在します。
(CVE-2023-29409)

- Go の html/template モジュールには、'＜script＞' タグ内の
コメントタグ ( ) やハッシュバン ( #! ) を適切に処理
しない問題があるため、リモートの攻撃者により、クロス
サイトスクリプティング攻撃を可能とする脆弱性が存在します。
(CVE-2023-39318)

- Go の html/template モジュールには、＜script＞ タグを用いて
記載された JavaScript コード内の "＜script"、"＜!--"、および
"＜/script" を処理するためのルールが適用されない問題がある
ため、リモートの攻撃者により、クロスサイトスクリプティング
攻撃を可能とする脆弱性が存在します。(CVE-2023-39319)

- Go には、リモートの攻撃者により、不完全なポストハンド
シェイクメッセージを介して、サービス拒否攻撃 (クラッシュ
の発生) を可能とする脆弱性が存在します。(CVE-2023-39321)

- Go の QUIC プロトコルの処理には、接続後の受信メッセージ
のバッファリングデータ量に上限が設けられていない問題が
あるため、リモートの攻撃者により、サービス拒否攻撃 (メモリ
枯渇) を可能とする脆弱性が存在します。(CVE-2023-39322)

Modularity name: container-tools
Stream name: 4.0

CVE(s):
CVE-2022-27664
In net/http in Go before 1.18.6 and 1.19.x before 1.19.1, attackers can cause a denial of service because an HTTP/2 connection can hang during closing if shutdown were preempted by a fatal error.
CVE-2022-2879
Reader.Read does not set a limit on the maximum size of file headers. A maliciously crafted archive could cause Read to allocate unbounded amounts of memory, potentially causing resource exhaustion or panics. After fix, Reader.Read limits the maximum size of header blocks to 1 MiB.
CVE-2022-2880
Requests forwarded by ReverseProxy include the raw query parameters from the inbound request, including unparsable parameters rejected by net/http. This could permit query parameter smuggling when a Go proxy forwards a parameter with an unparsable value. After fix, ReverseProxy sanitizes the query parameters in the forwarded query when the outbound request's Form field is set after the ReverseProxy. Director function returns, indicating that the proxy has parsed the query parameters. Proxies which do not parse query parameters continue to forward the original query parameters unchanged.
CVE-2022-41715
Programs which compile regular expressions from untrusted sources may be vulnerable to memory exhaustion or denial of service. The parsed regexp representation is linear in the size of the input, but in some cases the constant factor can be as high as 40,000, making relatively small regexps consume much larger amounts of memory. After fix, each regexp being parsed is limited to a 256 MB memory footprint. Regular expressions whose representation would use more space than that are rejected. Normal use of regular expressions is unaffected.
CVE-2023-29409
Extremely large RSA keys in certificate chains can cause a client/server to expend significant CPU time verifying signatures. With fix, the size of RSA keys transmitted during handshakes is restricted to <= 8192 bits. Based on a survey of publicly trusted RSA keys, there are currently only three certificates in circulation with keys larger than this, and all three appear to be test certificates that are not actively deployed. It is possible there are larger keys in use in private PKIs, but we target the web PKI, so causing breakage here in the interests of increasing the default safety of users of crypto/tls seems reasonable.
CVE-2023-39318
The html/template package does not properly handle HTML-like "" comment tokens, nor hashbang "#!" comment tokens, in <script> contexts. This may cause the template parser to improperly interpret the contents of contexts, causing actions to be improperly escaped. This may be leveraged to perform an XSS attack.
CVE-2023-39319
The html/template package does not apply the proper rules for handling occurrences of "<script", "<!--", and "</script" within JS literals in <script> contexts. This may cause the template parser to improperly consider script contexts to be terminated early, causing actions to be improperly escaped. This could be leveraged to perform an XSS attack.
CVE-2023-39321
Processing an incomplete post-handshake message for a QUIC connection can cause a panic.
CVE-2023-39322
QUIC connections do not set an upper bound on the amount of data buffered when reading post-handshake messages, allowing a malicious QUIC connection to cause unbounded memory growth. With fix, connections now consistently reject messages larger than 65KiB in size.