2.4. Migration Toolkit for Containers 1.7.14 发行注记

• (BZ#2243564)
• (BZ#2244013)
• (BZ#2244014)
• (BZ#2244015)
• (BZ#2244016)
• (BZ#2244017)

CVE-2023-39318 CVE-2023-39319 CVE-2023-39321: 各种安全漏洞

• (CVE-2023-39318): 在 Golang 中发现了一个安全漏洞，它被 MTC 使用。html/template 软件包没有正确处理类似 HTML 的 "" 注释令牌，或者在 <script> 上下文中正确处理 hashbang "#!" 注释令牌。此漏洞可能会导致模板解析器错误地解释 <script> 上下文的内容，从而导致操作被不当转义。

  • (BZ#2238062)  
  • (BZ#2238088)

• (CVE-2023-39319): 在 Golang 中发现了一个安全漏洞，它被 MTC 使用。对于 <script> 中的 JavaScript 代码，html/template 软件包没有应用正确的规则来处理同时存在的 "<script", "<!--", 和 "</script"。这可能会导致模板解析器错误地认为脚本已结束，从而导致操作被不当转义。 

  • (BZ#2238062)  
  • (BZ#2238088)

• (CVE-2023-39321): 在 Golang 中发现了一个安全漏洞，它被 MTC 使用。为 QUIC 连接处理不完整的 post-handshake 消息可能会导致 panic。

  • (BZ#2238062)  
  • (BZ#2238088)

• (CVE-2023-3932): 在 Golang 中发现了一个安全漏洞，它被 MTC 使用。使用 QUIC 传输协议进行连接时，当在读取握手后消息时对缓冲区的数据量没有设置上限，从而使恶意的 QUIC 连接可以导致内存的使用大量增加。 

  • (BZ#2238088)