不具合修正(Catalina)

* JAASRealm は設定された configFile をロードする設定ソースを使用することができるようになりました。これはテストで使いやすくするためです。

* JAASCallbackHandler に欠けていたアルゴリズムのコールバックが追加されました。

* APR および OpenSSL のステータスクラスに OpenSSL のバージョン番号が追加されました。

* Authenticator の属性 allowCorsPreflight のフィルター値が拡大され、CORS フィルターが /* にマップされた場合にだけ適用されるのではなく、CORS フィルターの設定された URL パターンに一致する全てのリクエストに適用されるようになりました。(69131)

* OpenSSLListener は、OpenSSL が利用可能であればコネクタに OpenSSL を使用させるように修正されました。

不具合修正(Coyote)

* FFM コード中で OpenSSL の conf コマンドを処理する前に OpenSSL のエラーをクリアしつつログ出力するようになりました。

* AsyncListener.onError() が例外を投げるターゲットにディスパッチする場合に、onComplete() イベントがトリガされることが保証されるようになりました。(69121)

* トレーラヘッダフィールドのリファクタリングに従い、maxTrailerSize の値として -1 が許されなくなりました。合わせてドキュメントも調整されました。

* Mac OS 上で FFM 用の OpenSSL を検索する際に java.library.path から検索されるように修正されました。

不具合修正(Jasper)

* jakarta.el.ImportHandler の最適化が更新され、Java 23 で java.lang.package に追加された新しいクラスを認識するようになりました。

* ExpressionFactory.coerceToType() を使ってオブジェクトが String に強制されるとき、toString() 中の例外が依然として ELException の中で発生することが保証されるようになりました。

* JAR ファイルにパッケージされたタグファイルで include ディレクティブを使用する際、コンテキスト相対の include が正しく処理されることが保証されるようになりました。(69135)

* JAR ファイルにパッケージされたタグファイルで include ディレクティブを使用する際、ファイル相対の include が正しく処理されることが保証されるようになりました。(69135)

* JAR ファイルにパッケージされたタグファイルで include ディレクティブを使用する際、ファイル相対の include は、/META_INF/tags ディレクトリの外側のファイルや JAR ファイルの外側のファイルにアクセスすることが許されないことが保証されるようになりました。(69135)

不具合修正(Web applications)

* 自動ポートを使用する際のコネクタのサーブレットの状態の詳細ビューが修正されました。

機能追加・改良(Coyote)

* FFM を使用する OpenSSL のサポートが、tomcat-coyote-ffm.jar という名前の独立した JAR に移動されました。この JAR はそのマニフェストで Java 22 を広告しています。

* LibreSSL サポートに FFM 互換メソッドが追加されました。現時点ではリネゴシエーションはサポートされていません。

* FFM を使用して OpenSSL ライブラリのロード処理を設定するために、org.apache.tomcat.util.openssl.LIBRARY_NAME (ロードするライブラリ名を指定) および org.apache.tomcat.util.openssl.USE_SYSTEM_LOAD_LIBRARY (FFM ライブラリがロードするコードではなく System.loadLibrary を使用する場合に true を設定) が追加されました。

* BoringSSL サポートに FFM 互換メソッドが追加されました。現時点ではリネゴシエーションはサポートされていません。

機能追加・改良(Jasper)

* JSP コンパイルの際、コンパイラのソースおよびコンパイラのターゲットとして Java 24 (24 という値で) を指定できるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンを使用している場合は、警告がログ出力され、デフォルト値が使用されます。

機能追加・改良(Other)

* テスト専用のビルドターゲットが追加され、テストスイートのみを実行させることができるようになりました。これは Java のバージョンを Tomcat を実行することができる最小バージョンにダウンすることを可能にします。

* UnboundID がバージョン 7.0.1 に更新されました。

* SpotBugs がバージョン 4.8.6 に更新されました。

* ユニットテストで使用される EasyMock のバージョンで必要とされなくなったため、cglib の依存性が削除されました。

* EasyMock がバージョン 5.3.0 に更新されました。これにより、Byte-Buddy 1.14.17 についてのテストの依存性が追加されました。

* チェコ語の翻訳が改善されました。

* フランス語の翻訳が改善されました。

* 日本語の翻訳が改善されました。

* 中国語の翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.26_(schultz)

このドキュメントは 2024 年 6 月 19 日にリリースされた Tomcat 10.1.25 のリリースノートの日本語訳です。
ダウンロードは Tomcat ダウンロードより行えます。
以下はリリースの詳細と、最新情報およびドキュメントを補足するその他情報について記載しています。

脆弱性修正(Catalina)

* HTTP/2 ストリームの処理の際、Tomcat は過剰な HTTP ヘッダを場合によっては正しく取り扱っていませんでした。このために、アクティブな HTTP/2 ストリーム数のカウントが正しくなく、さらにそのことにより、誤った無限のタイムアウトが使用されなくなり、その結果、クローズされるべきコネクションがオープンされたままになる可能性がありました。本件は 2024/5/4 に Tomcat Security Team に報告され、2024/7/3 に公開されています。(CVE-2024-34750)

* Tomcat は、どのプラットフォームにおいても特定の設定の場合に、攻撃者がTLS ハンドシェーク処理を悪用することで OutOfMemoryError を発生させることができました。この問題が修正されました。本件は 2024/6/4 にTomcat Security Team に報告され、2024/9/23 に公開されています。(CVE-2024-38286)

不具合修正(Catalina)

* Base64 処理の際の SPNEGO オーセンテケータのリグレッションが修正されました。(69066)

* 68721 に対する修正でのリグレッションが修正されました。このリグレッションにより、LinkageError のいくつかのインスタンスが ClassNotFoundException と報告されていました。

* コンテキストがブルームフィルターを使用するよう設定されていた場合、JAR ファイルでデプロイされた静的リソースはアクセス可能なままとなることが保証されるようになりました。

不具合修正(Coyote)

* OpenSSL FFM の 128 バイトバッファの ERR_error_string の使用方法が修正され、代わりに ERR_error_string_n が使用されるようになりました。

* Windows の CA 証明書がヌルパスに設定されている場合のクラッシュが修正されました。

* HTTP/2 使用時に非同期、ノンブロッキングの読み出しに対して読み込みタイムアウトが発動することが保証されるようになりました。(69068)

* 接続毎のアクティブな HTTP/2 ストリーム数のカウントがより確実になりました。

* Connector が全てのローカルアドレスをリッスンしている場合にアクセプタをアンロックするのに使用される IP アドレスを特定するアルゴリズムが改良されました。ポイントツーポイント接続ように設定されている、あるいは現在アップしていないインターフェースはスキップされるようになりました。

不具合修正(Jasper)

* JSP 向けに生成された Servlet コードの初期ロードに小さな最適化が追加されました。(68546)

機能追加・改良(Catalina)

* WebDAV を使用する際のシャロ―コピーがサポートされました。

* WebdavFixFilter は必要とされなくなったため、非推奨となりました。

* 確立された GSS コンテキストから拡張あるいは追加された情報を取得する RealmBase.getPrincipal(GSSName, GSSCredential, GSSContext) が追加されました。

* AprLifecycleListener がより堅牢になるように参照カウントが導入されました。これは、複数のサーバが AprLifecycleListener を必要とする場合の独立したライフサイクルを持つ複数のサーバインスタンスからなる、より複雑な埋め込み設定を特にターゲットとしています。

機能追加・改良(Coyote)

* 一貫性を保つため、Connector 要素に、Executor 要素と同様のタスクキューサイズ設定が追加されました。(69133)

* TLS 1.3 のクライアント開始の鍵の再生成がサポートされました。

機能追加・改良(Web applications)

* Manager web アプリケーションのメインページにサブタイトルを設定する機能が追加されました。これは、ユーザが多数のインスタンスを区別しやすくすることを意図しています。

機能追加・改良(Other)

* Derby が 10.16.1.1 に戻されました。それは、このバージョンが Java 17 で動作する Derby の最新バージョンであるためです。

* Commons Daemon が 1.4.0 に更新されました。

* Objenesis が 3.4 に更新されました。

* Checkstyle が 10.17.0 に更新されました。

* SpotBugs が 4.8.5 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.25_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.25