脆弱性修正(Web applications)

* Examples: サンプルの Web アプリケーションのフォーム認証で重大度の低い XSS 脆弱性が修正されました。(CVE-2022-34305)

不具合修正(Catalina)

* エラーメッセージを回避するために、ログディレクトリが作成される前にそのディレクトリから古いファイルをクリーンアップしないように修正されました。(66104)

不具合修正(Coyote)

* HTTP/2 接続が予期せず失敗する原因となる重複した HTTP/2、NIO および非同期 IO のポーラーの登録が修正されました。

不具合修正(Web applications)

* Documentation: ディレクトリリストを構成するためのオプションに contextXsltFile が追加されました。(62245)

* Documentation: Windows でこの機能を使用するときの HTTP/2 の useSendfile 属性の説明が拡張され、ファイルロックの可能性を参照するように修正されました。

不具合修正(Other)

* 削除された org.apache.tomcat.util.threads.res パッケージへの参照が削除および/または更新されました。そのパッケージ内の LocalStrings*.properties ファイルは、Tomcat コードベースの残りの部分との一貫性を保つために、org.apache.tomcat.util.threads パッケージに移動されました。

* Windows 用の NSIS ベースの Tomcat インストーラーは、設定ファイルで定義された TomcatAdminRoles の組み合わせと、インストーラーの GUI でのマネージャーまたはホストマネージャーの Web アプリケーションの選択を正しく処理するようになりました。(66134)

機能追加・改良(Coyote)

* TLS ハンドシェイクの失敗に専用のロガー (org.apache.tomcat.util.net.NioEndpoint.handshake / org.apache.tomcat.util.net.Nio2Endpoint.handshake) を提供するようになりました。

* OpenSSL 3.0.x 以降でビルドされた Tomcat Native 1.2.34 以降を使用する場合、TLS 対応コネクタの FIPS プロバイダーの使用が有効化されるようになりました。

* エンジンの jmvRoute 属性のデフォルト値を設定するために使用される jmvRoute システムプロパティが非推奨になりました。

機能追加・改良(Jasper)

* Java 19（値19）をJSPコンパイルのコンパイラソースおよび/またはコンパイラターゲットとして指定するためのサポートが追加されました。これらの値をサポートしない Eclipse JDT コンパイラーで使用すると、警告がログに記録され、デフォルトの値が使用されます。

機能追加・改良(Other)

* bnd 6.3.1 に更新されました。

* Tomcat 9.0.x のビルドに必要な Ant の最小バージョンは 1.10.2 になりました。

* リリースマネージャーが実行する必要のある手動ステップの数を減らすために、ビルドプロセスの自動化が追加されました。

* 再現可能なビルドのサポートが実装されました。再現可能なビルドはオペレーティングシステムに依存しませんが、関連するバージョン情報がJARファイルマニフェストなどの多数のビルド出力に埋め込まれているため、同じ Ant バージョンと同じ JDK (ベンダーとバージョン) を使用する必要があります。

* OpenSSL 3.0.x でのビルドのサポートを改善するために、パッケージ同梱の Tomcat ネイティブライブラリのバージョンが 1.2.34 に更新されました。

* OWB モジュールが ApacheOpenWebBeans 2.0.27 に更新されました。

* CXF モジュールが ApacheCXF 3.5.3 に更新されました。

* Jakarta EE ライブラリ用の Apache Tomcat 移行ツールが 1.0.1 に更新されました。

* フランス語の翻訳が改善されました。

* tak7iji によって日本語の翻訳が改善されました。

* OpenSSL 1.1.1q でビルドされた Windows バイナリを取得するために、パッケージ同梱の Tomcat ネイティブライブラリのバージョンが 1.2.35 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.23
https://tomcat.apache.org/tomcat-10.0-doc/changelog.html#Tomcat_10.0.23_(markt)

不具合修正(Catalina)

* Java 19 およびそれ以降で実行する場合、アプリケーションが作成した executor スレッドの停止をサポートするメモリリーク保護コードが更新されました。

* 必須の –add-opens option オプションが指定されていない場合のエラーメッセージが改善されました。

* 問題のメモリリークの修正を含む JRE 上で実行される場合は、Context 属性 clearReferencesObjectStreamClassCaches で有効化される、メモリリーク訂正コードが無効化されました。

* いくつかのユーティリティ executor の設定での起動時のデッドロックが回避されました。(#515)

* RemoteIPValve によりリクエストに対して行われた変更が、リクエストが非同期モードに置かれた後も持続することが保証されるようになりました。(66068)

不具合修正(Coyote)

* 65118 について追加の修正が行われました。接続からクローズされた HTTP/2 ストリームを削除する場合の潜在的な NullPointerException が修正されました。

* TLS をノンブロッキング書き込みと NIO コネクタと共に使う場合、バッファをフラッシュするとすべての出力バッファを空にしようとすることが保証されました。(66076)

* 応答に書き込まれたバイト数の計算が修正されました。(66084)

不具合修正(Jasper)

* Java 19 で導入された新しいクラスに対する ImportHandler 最適化が更新されました。

不具合修正(Web applications)

* ドキュメント Web アプリケーションのビルドについてのページが更新され、必要な Java バージョンやソースリポジトリの変更が反映されました。(66064)

* HTTP ヘッダサイズの最大値を制御する HTTP/1.1 の設定属性の記述がより詳細になりました。

不具合修正(Tribes)

* レプリケーションmessage用のデフォルトのバッファサイズが 43800 バイトから 65536 バイトに拡大されました。これにより、Linux ベースのシステムで稼働させた場合に大きなメッセージでの性能が改善されることが期待されます。

機能追加・改良(Catalina)

* AprLifecycleListener 付で使用する Tomcat Native 向けの推奨バージョンにメジャーバージョンが含まれるようになりました。

機能追加・改良(Coyote)

* 非暗号化 PKCS#1 形式の秘密鍵のサポートを機能させなくする、前のリリースで追加された、暗号化 PKCS#1 形式の秘密鍵のサポートでのリグレッションが訂正されました。

* Tomcat Native Connector を使用する場合の NPN のサポートが削除されました。これは、NPN が標準化されたことがなく、NPN のブラウザサポートが何年も前に削除されているためです。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.0-doc/changelog.html#Tomcat_10.0.22_(markt)