脆弱性修正

* Apache Tomcat リクエストスマグリング CVE-2022-42252: Tomcat は、rejectIllegalHeader を false に設定する(デフォルト設定ではありません)ことで不正な HTTP ヘッダを無視するように設定されていた場合、不正な Content-Length ヘッダを含むリクエストを拒絶しないため、Tomcat が、やはり、不正なヘッダがあるリクエストを拒絶するのに失敗するリバースプロキシの背後に置かれている場合、リクエストスマグリング攻撃が可能となっていました。この問題が修正されました。(CVE-2022-42252)

不具合修正(Catalina)

* URL がエンコードされた行末記号を含む場合の想定外の動作を回避するため、RewriteValve が更新され、dotall モードを使ってパターン照合が行われるようになりました。

不具合修正(Coyote)

* HTTP/2 ストリームの派生を追加する際の誤ったクラスのキャストが修正されました。(66276)

* HTTP/2 と NIO2 を使用している場合のクライアントの切断として発生する想定外のタイムアウトが修正されました。(66281)

* 不正な content-length ヘッダを持つリクエストは常に 400 応答で拒絶すべきであるという RFC 7230 以降の要件が強制的に適用されるようになりました。

不具合修正(Jasper)

* Stack ArrayDeque のリファクタリングでのリグレッションが修正されました。(66277)

不具合修正(Web applications)

* CsrfPreventionFilter の nonceRequestParameterName 属性の説明が記載されました。

機能追加・改良(Jasper)

* JSP のコンパイルでコンパイラのソースあるいはコンパイラのターゲットとして値 20 で Java 20 を指定できるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンを使用している場合は、警告がログ出力され、デフォルト値が使用されます。

機能追加・改良(Other)

* Eclipse JDT コンパイラのバージョンが 4.23 に更新されました。

* Objenesis のバージョンが 3.2 に更新されました。

* UnboundID のバージョンが 6.0.6 に更新されました。

* Checkstyle のバージョンが 10.3.4 に更新されました。

* JaCoCo のバージョンが 0.8.8 に更新されました。

* SpotBugs のバージョンが 4.7.2 に更新されました。

* JSign のバージョンが 4.2 に更新されました。

* Derby のバージョンが 10.16.1.1 に更新されました。

* 中国語翻訳が改善されました。

* チェコ語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* スペイン語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.1
https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.1_(markt)

脆弱性修正

* ドキュメント Web アプリケーションが更新され、EncryptInterceptor は、信頼できないネットワーク上で Tomcat のクラスタリングを実行するための充分な保護は提供していないことが記載されました。これは、充分な保護を提供できると記載していた問題 CVE-2022-29885 に対する修正です。(CVE-2022-29885)

* Examples: サンプルの Web アプリケーションのフォーム認証で重大度の低い XSS 脆弱性が修正されました。(CVE-2022-34305)

不具合修正(Catalina)

* 同名の HTTP ヘッダのインスタンスが複数ある場合の HTTP TRACE リクエストの処理が修正されました。

* RFC 7231 の要件が実装され、HTTP TRACE リクエストの応答に機密データを含むヘッダが入らないようになりました。

* HTTP 範囲指定子の単位は大文字小文字の区別がされるという RFC 9110 の記述が実装されました。

* MemoryUserDatabase が XML ファイルに書き出される際にロールとグループの情報が適切にエスケープされるようになりました。

* XML-export ロジックの制御が個々のサポートクラスから MemoryUserDatabase.save() に移動されました。MemoryUser, MemoryRole, MemoryGroup が非推奨となり使用されなくなりました。

* Cookie 値をアクセスログ valve にログ出力し、同名の複数の Cookie がある場合、最初の Cookie 値だけでなく全ての Cookie 値がログ出力されるようになりました。(66183)

* JULI の root logger がデフォルトのレベル INFO となることが保証されました。(66184)

* SSI 式のパーシングの際のスタックオーバーフローエラーの処理が改善されました。

* 認証の処理中にセッションの保持と復元が発生した場合に FORM 認証が正しく動作するようになりました。(66120)

* リクエストの持つ Cookie が多すぎる時の 400 応答を送付する際、エラーメッセージもふくめられるようになりました。(66233)

* JAR が重複したフラグメント名を持つことにより、Web アプリケーションのデプロイメントに失敗した場合、重複が含まれている JAR の一覧を示すようにエラーメッセージが改善されました。

* JULI の AsyncFileHandler 用のログ出力スレッドが、ログ出力の失敗に対して保護を行う executor に置き換えられました。

不具合修正(Coyote)

* Hashtables のリファクタリングによるリグレッションが修正されました。このリグレッションにより、mbean の多くの属性が失われるという問題が発生していました。

* Java 20 の API 変更に対して OpenSSL Panama モジュールが用意されました。

* 66236 に対する前の修正でのリグレッションが修正されました。

* UNIX ドメインソケットを使用している際の重複した受付の検査をスキップすることで、潜在的な NPE が回避されました。

* CRCRLF を有効な行末指示子として扱うことを許す HTTP ヘッダパーシングでの例外的な場合の対処が行われました。

* 接続固有のヘッダを含む HTTP/2 リクエストが拒絶されることが保証されるようになりました。

* HTTP/2 リクエストの処理の際、:authority ヘッダの代わりに host ヘッダを使用することが可能になりました。

* HTTP/2 リクエストの処理の際、一個の host ヘッダと一個の :authority ヘッダは一貫性を保つように存在することが可能になりました。

* HTTP/2 リクエストの処理の際、複数の host ヘッダを含むリクエストが拒絶されるようになりました。

* Content-Disposition ヘッダ中の不正なファイル名のディレクティブのパーシングがより堅牢になりました。不正なファイル名のディレクティブは 500 応答を発生させるのではなく無視されるようになりました。

* HTTP/2 ストリームのクローズ(通常クライアントのエラーにより引き起こされる)を UserDataHelper 経由でログ出力する動作が、パーシングの問題や制限超えについての HTTP/1.1 の動作に概ね揃えられました。(66194)

* HTTP/1.1 が HTTP/2 に揃えられ、コードポイントが 255 より大きい文字を一個あるは複数個含むヘッダ値を伴う応答をコミットすることを試みる際に、例外を投げるようになりました。(66196)

* TLS リネゴシエーションと共に使用される Connector の maxSavePostSize を設定する際の特別な値ゼロと -1 のサポートが実装されました。(66236)

* オクテットをパーシングする際の int のオーバーフローが、最大値を 255 に制限することで回避されました。(66240)

* Servlet が、リクエスト本体を読むことなしに 2xx 応答を返すことを期待してリクエストに応答する場合が正しく処理されるようになりました。(#550)

* HTTP/2 プリフェイスとの照合の際の誤ったチェックを修正することで、潜在的な IndexOutOfBoundsException が回避されました。(#551)

不具合修正(Jasper)

* EL 式をパーシングする際のスタックオーバーフローエラーの処理が改善されました。

* EL 式中の整数と浮動小数点のリテラルのパーシングが修正され、より大きな値がそれぞれ、BigInteger と BigDecimal に正しくパースされるようになりました。

* Graal 用に使用される bean リゾルバに関する様々な問題が修正されました。(66235)

* Expression Language 実装の ImportHandler の性能が改善されました。この改善では、役に立つどころか有害になってしまった以前の最適化は削除されています。

* EL のエラーメッセージの処理が改善され、Number のインスタンスが予期しない仕方でフォーマットされることがなくなりました。

* EL 算術演算中に型変換に失敗した場合、IllegalArgumentException ではなく ELException を使うように切り換えられました。これは、EL のエラーなので ELException がより適切です。

* MethodExpression の処理のバグが修正されました。このバグは、static メソッドを直接クラスに対して起動するのではなく、クラスのインスタンスに対して起動したときにエラーを引き起こしていました。

* EL 式の一部として BigInteger のインスタンスに対する剰余演算を行う場合、BigInteger.mod() ではなく BigInteger.remainder() が使われるようになりました。

不具合修正(Cluster)

* 将来、新たな機能が追加された場合に備えて、DeltaRequest に認識できないアクションタイプが渡された場合、IllegalArgumentException を投げるのではなく、警告メッセージがログ出力されるようになりました。

* 認証の処理中にセッションのフェールオーバが発生した場合に FORM 認証が正しく動作するようになりました。(66120)

不具合修正(Other)

* Zip アーカイブがファイル変更時刻として UTC を使用することが保証され、これにより、タイムゾーンが異なっても同じビルドになることが保証されました。

機能追加・改良(Coyote)

* Java 20 の広範におよぶ変更に対して Panama OpenSSL コードがアップデートされました。

機能追加・改良(Jasper)

* JSP コンパイラがコード生成用の出力ディレクトリを作成することができない場合のエラーメッセージをログ出力するようになりました。(66203)

機能追加・改良(WebSocket)

* 認証を必要とするフォワードプロキシ経由で WebSocket エンドポイントに接続を確立する際の、WebSocket クライアントの HTTP フォワードプロキシとの認証がサポートされました。(62312)

機能追加・改良(Other)

* ビルドプロセスの自動化が進められ、リリースマネージャが行わなければならない手動操作のステップ数が削減されました。

* Jakarta EE ライブラリ用の Apache Tomcat マイグレーションツールが 1.0.4 に更新されました。

* 中国語翻訳が改善されました。

* チェコ語翻訳が改善されました。

* フランス語翻訳が改善されました。

* ドイツ語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* ブラジルのポルトガル語翻訳が改善されました。

* ロシア語翻訳が改善されました。

* スペイン語翻訳が改善されました。

* Jakarta EE ライブラリ用の Apache Tomcat マイグレーションツールが 1.0.3 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M17

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.0-M15

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.0_(markt)