脆弱性修正

* Apache Tomcat JsonErrorReportValve インジェクション CVE-2022-45143: JsonErrorReportValve は、タイプ、メッセージ、デスクリプションの値のエスケープ処理を行っていませんでした。場合によっては、これらの値はユーザが提供するデータから組み立てられるので、JSON 出力を無効化したり、何らかの操作を行ったりするような値をユーザが提供することが可能となっていました。この問題が修正されました。(CVE-2022-45143)

不具合修正(Catalina)

* 62897 の修正で入ったリグレッションが修正されました。このリグレッションは、Context の skipMemoryLeakChecksOnJvmShutdown の設定が何であれ無視されてしまい、常にデフォルトが使われてしまうものでした。(66330)

* SystemLogHandler 上の Stack のリファクタリングの際のリグレッションが修正されました。このリグレッションは誤った例外を捕捉していました。(66331)

* ErrorReportValve のリファクタリングの際に微妙な違いをもたらすリグレッションが修正されました。(66338)

* 常に正しい JSON を出力することを保証するために、JsonErrorReportValve 用の出力を構成する際にエスケープされた値が使われるようになりました。

不具合修正(Coyote)

* HTTP クッキーの expires 属性で使われる日付のフォーマットが修正されました。RFC 6265 に適合するためには、日、月、年を区切る際に一個のダッシュではなく一個の空白を使用すべきでした。

不具合修正(Jasper)

* 62080 の問題を扱うために追加されたスレッドコンテキストのクラスローダを得るための特権ブロックの使用がオプションとなり、デフォルトでは無効化されました。これは、org.apache.el.GET_CLASSLOADER_USE_PRIVILEGED システムプロパティで調整されるようになりました。(66294)

* Lambda 強制セキュリティマネジャに権限が欠けていた問題が修正されました。(66317)

* ラムダ式を含む式言語の評価の並列性の問題が修正されました。(66325)

不具合修正(Other)

* モジュールの起動パラメータが JDK_JAVA_OPTIONS から JAVA_OPTS に移されました。現時点では Java の最小バージョンが 11 となり、これらのオプションは必須となったためです。(66323)

* Graal のネイティブイメージサポートを阻害する APR コネクタの削除におけるリグレッションが修正されました。

機能追加・改良(Catalina)

* Web アプリケーションの使用期間中ずっと保持されるよう、JAR ファイルのインデックスに bloom フィルターを使用することを許可する設定オプションが追加されました。この追加の前は、WebResourceRoot.gc() の定期的な呼び出しにより常にフラッシュされていました。この追加の一環として、アーカイブのインデックス処理の設定は Conext から WebResourceRoot に移動されました。(66029)

機能追加・改良(Coyote)

* ストリームが書き込みを許さない状態にあるときに、そのストリームへの書き込みを試みたことにより、ストリームがキャンセルされた場合のエラーメッセージに現在のストリームの状態名が含まれるようになりました。

* NIO の書き込みが -1 を返すことはないので、CLOSED_NIO_CHANNEL も -1 を返さないようにリファクタリングを行い、この戻り値の検査が削除されました。

* asyncTimeout を、それを決して使うことのないコンポーネントに公開していた不要なコードが削除されました。

機能追加・改良(Other)

* Commons Daemon のバージョンが 1.3.2 に更新されました。

* 中国語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* OpenSSL 3.0.7 でビルドされた Windows バイナリに合わせるために Apache Tomcat Native Library のパッケージ化バージョンが 2.0.2 に更新されました。

* Apache Tomcat Migration Tool for Jakarta EE のパッケージ化バージョンが 1.0.5 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.2
https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.2_(markt)

脆弱性修正

* Apache Tomcat リクエストスマグリング CVE-2022-42252: Tomcat は、rejectIllegalHeader を false に設定する(デフォルト設定ではありません)ことで不正な HTTP ヘッダを無視するように設定されていた場合、不正な Content-Length ヘッダを含むリクエストを拒絶しないため、Tomcat が、やはり、不正なヘッダがあるリクエストを拒絶するのに失敗するリバースプロキシの背後に置かれている場合、リクエストスマグリング攻撃が可能となっていました。この問題が修正されました。(CVE-2022-42252)

不具合修正(Catalina)

* URL がエンコードされた行末記号を含む場合の想定外の動作を回避するため、RewriteValve が更新され、dotall モードを使ってパターン照合が行われるようになりました。

不具合修正(Coyote)

* HTTP/2 ストリームの派生を追加する際の誤ったクラスのキャストが修正されました。(66276)

* HTTP/2 と NIO2 を使用している場合のクライアントの切断として発生する想定外のタイムアウトが修正されました。(66281)

* 不正な content-length ヘッダを持つリクエストは常に 400 応答で拒絶すべきであるという RFC 7230 以降の要件が強制的に適用されるようになりました。

不具合修正(Jasper)

* Stack ArrayDeque のリファクタリングでのリグレッションが修正されました。(66277)

不具合修正(Web applications)

* CsrfPreventionFilter の nonceRequestParameterName 属性の説明が記載されました。

機能追加・改良(Jasper)

* JSP のコンパイルでコンパイラのソースあるいはコンパイラのターゲットとして値 20 で Java 20 を指定できるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンを使用している場合は、警告がログ出力され、デフォルト値が使用されます。

機能追加・改良(Other)

* Eclipse JDT コンパイラのバージョンが 4.23 に更新されました。

* Objenesis のバージョンが 3.2 に更新されました。

* UnboundID のバージョンが 6.0.6 に更新されました。

* Checkstyle のバージョンが 10.3.4 に更新されました。

* JaCoCo のバージョンが 0.8.8 に更新されました。

* SpotBugs のバージョンが 4.7.2 に更新されました。

* JSign のバージョンが 4.2 に更新されました。

* Derby のバージョンが 10.16.1.1 に更新されました。

* 中国語翻訳が改善されました。

* チェコ語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* スペイン語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.1
https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.1_(markt)