不具合修正(Catalina)

* フィルターチェーンの構築の際の性能が若干改善されました。

* Writer と OutputStream のエラー処理が統一されました。どちらかを使用した場合、discardFacades がデフォルト値の true に設定されていたなら、レスポンスが一度リサイクルされると NullPointerException がトリガされます。

* Executor エレメントを使用するよう設定された標準のスレッドプール実装で、NIO2 のサポートが改善された ExecutorService が実装されました。(68692)

* FORM 認証の成功後にセーブされた POST リクエストをリストアする際に、リクエストのボディのリストアでは URI、クエリ文字列、プロトコルのどれも破壊されないことが保証されるようになりました。(68495)

* リクエストの転送後、レスポンスがラップされていた場合は、単にクローズするのではなく、中断させるためにレスポンスをアンラップするようになりました。Context に suspendWrappedResponseAfterForward というブーリアン属性が追加され、その動作を制御します。デフォルトでは false です。

* ClassFileTransformers を使用し、クラスの変換が同じクラスのロードを引き起こす場合の重複クラス定義の原因である可能性の一つが回避されるようになりました。(68721)

* リライトバルブは、出力が入力と同一である場合にはリライトすべきではありませんでした。この問題が修正されました。

* AsyncConext の使用時に、AsyncContext がリサイクルされた後でその AsyncContext を使用しようとした場合、NullPointerException ではなく IllegalStateException が投げられるようになりました。

不具合修正(Coyote)

* HTTP/2 ストリームの優先順位付けプロセスが改善されました。ストリームが全ての接続ウィンドウを使用していて、なお、書き出すべきコンテンツがある場合、残りのコンテンツに対する書き込みの試みを待つことなく、直ちにバックログに追加されるようになりました。

* threadsMaxIdleTime 属性がエンドポイントに追加され、内部のエグゼキュータが設定された minSpareThreads のサイズにスケールバックするまでの時間を設定することが可能になりました。

* org.apache.catalina.security.TLSCertificateReloadListener の動作を妨げる、ユーザ提供 SSLContext インスタンスのサポートにおけるリグレッションが修正されました。

不具合修正(Jasper)

* JSP エンジンがリクエスト/レスポンスを Writer ではなく OutputStream を使用しているサーブレットに転送する場合が対応されました。これは、後続の Writer を得ようとする試みが存在する場合は、コードパス上での IllegalStateException を発生させていました。

* タグライブラリが JAR ファイルにパッケージ化されていて、Web アプリケーションがディレクトリに展開された形ではなく WAR ファイルとしてデプロイされているという場合が正しく処理されるようになりました。

不具合修正(Cluster)

* 非同期の場合はリクエストカウントの統計情報を更新する処理が回避されるようになりました。

不具合修正(Other)

* digest.sh および digest.bat がファイルや標準入力からパスワードを受け付けるようになりました。(57130)

機能追加・改良(Catalina)

* リライトバルブに新しい valveSkip (あるいは VS) ルールフラグが追加され、Catalina パイプラインの次のバルブをスキップさせることができるようになりました。

* SemaphoreValve に highConcurrencyStatus 属性が追加され、セマフォから許可が得られない場合は、バルブがエラーステータスコードを返すことを選べるようになりました。

* SecurityListener に、実行中の Tomcat インスタンスのそのビルド日からの “年齢” のチェックが追加され、サーバが古い場合は警告がログ出力されるようになりました。

機能追加・改良(Jasper)

* JSP コンパイルの際に、コンパイラのソースおよびターゲットとして Java 22 (値 22) を指定することができるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンと共に使用する場合は、警告がログ出力され、デフォルトが使用されます。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* Checkstyle が 10.14.1 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.20_(schultz)

脆弱性修正

* サービス妨害 CVE-2024-23672: WebSocket クライアントが WebSocket の接続をオープンしたままとすることでリソースの消費を増大させることが可能になっていました。この問題が修正されました。この問題は Tomcat のバージョン 10.1.0-M1 から 10.1.18 に影響します。(CVE-2024-23672)

* サービス妨害 CVE-2024-24549: HTTP/2 リクエスト処理中に、そのリクエストがヘッダについて設定されている制限の一つでも超えた場合、付随する HTTP/2 ストリームが、全てのヘッダが処理されるまでリセットされませんでした。この問題が修正されました。この問題は Tomcat のバージョン 10.1.0-M1 から 10.1.18 に影響します。(CVE-2024-24549)

不具合修正(Catalina)

* JPMS および OSGi の tomcat-embed-core.jar についてのメタデータが修正され、JAR に含まれなくなった org.apache.catalina.ssi パッケージへの参照が削除されました。

* ServiceBindingPropertySource が修正され、プロパティ値を含むファイルから、行末の \r\n のシーケンスを削除するよう設定されている場合は、正しく削除されるようになりました。

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。

* ApplicationHttpRequest および ApplicationRequest に対するリクエスト属性のアクセスの性能がさらに改善されました。(68089)

* 非同期処理中のエラーの後で非同期エラー処理がレスポンスを書き出せるようになりました。(68559)

不具合修正(Coyote)

* cookie 属性に null 値を指定した場合はその属性自体を削除すべきでした。この問題が修正されました。

* 非同期のエラー処理がより頑健になりました。一旦接続がクローズとマークされたなら、さらなる非同期処理はそのことを変更することはできないことが保証されます。

* 非同期のエラー処理がより頑健になりました。AsyncListener.onError() の呼び出しが一度コンテナに戻ったなら、コンテナのスレッドだけが AsyncContext にアクセスできることが保証されます。これは、アプリケーションスレッドが AsyncContext にアクセスし続けている場合に、そうなっていないと発生する様々な競合条件を抑止します。

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。特い、ほとんどの HTTP/2 デバッグログ出力がトレースレベルに変更されました。

* SSLHostConfigCertificate インスタンス上に設定されたユーザ提供の SSLContext インスタンスがサポートされました。

* 68558 についての部分的修正: リクエスト URI、HTTP ヘッダ名、リクエスト Content-Type 値を String に変換した結果をキャッシュすることで、繰り返し行われる byte[] から String への変換が減り性能が改善されるようになりました。

* ヘッダ処理時のエラーを HTTP/2 クライアントにエラー報告する処理が、ヘッダの末尾ではなく、エラーが検知されたフレームの末尾で問題を報告することで改善されました。

* 一度ストリームがリサイクルされたなら、残っていたそのストリームへの参照が削除されるようになりました。これにより、そのストリームが早期にガベージコレクションの対象となり、スケーラビリティが改善されます。

不具合修正(Jasper)

* JSP インポートマップに最適なサイズとタイプが生成されるようになりました。(68546)

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。

不具合修正(WebSocket)

* 66508 の修正でのリグレッションが修正されました。このリグレッションにより、環境により UpgradeProcessor のリークが発生する可能性がありました。

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。

* サーバサイドが占有的なサスペンド/レジューム機能を使って接続をサスペンドした場合に WebSocket 接続がクローズされた場合、その WebSocket の接続の終了が完了することが保証されるようになりました。

不具合修正(Other)

* マニフェストファイルの残りの OSGi 契約の参照が修正され、Java EE の契約名ではなく Jakarta EE の契約名を参照するようになりました。

機能追加・改良(Catalina)

* CSRF 抑止フィルターが何点か改善され、その一つに、リソース名とサブツリーURLパターンにノンスを追加することがスキップできるようになりました。

機能追加・改良(Web applications)

* サンプルアプリケーション RequestHeaderExample で JSON フォーマットのレスポンスがサポートされました。

機能追加・改良(Other)

* Checkstyle が 10.13.0 に更新されました。

* JSign が 6.0 に更新されました。

* Tomcat Migration Tool for Jakarta EE のパッケージ化バージョンが 1.0.7 に更新されました。

* Tomcat Native が 2.0.7 に更新されました。

* デバッグレベルメッセージ用の文字列が追加されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.19_(schultz)

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.19