不具合修正(Catalina)

* CVE-2004-56337 のチェックのために導入された未処理の例外により、JreCompat の初期化が失敗する可能性がある問題が回避されました。(69576)

機能追加・改良(Other)

* ログを 1 行の JSON ドキュメントとしてフォーマットするために、org.apache.juli.JsonFormatter が追加されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.36_(schultz)

不具合修正(Catalina)

* インクルードされたリクエストのパラメーターマップ作成が最適化されました。 (69285)

* キャッシュされたリソースがコンテンツ長 0 で設定される、または即座に削除されるという稀なケースを回避するように修正されました。(69527)

* WebDAV の LOCK および PROPFIND において、リクエストボディなしと判定する際のエッジケース（HTTP/1.0 など）が修正されました。

* Resources の bloom archiveIndexStrategy にマルチリリース JAR のサポートが追加されました。(69528)

* WebDAV サーブレットで WEB-INF および META-INF のチェックが強化されました。

* CrawlerSessionManagerValve から未使用のセッション・クライアントマップが削除されました。

* WebDAV サーブレットで serveSubpathOnly を true に設定した場合、WebDAV 操作の対象となる宛先もサブパスに制限されるよう修正されました。

* DELETE リクエストに対して対象リソースが削除できない場合、デフォルトサーブレットが 405 (method not allowed) を返す際に適切な Allow HTTP ヘッダーを生成するようになりました。

* 非コンテナスレッドで非同期処理中に IOException が発生した際、NullPointerException が発生する可能性が修正されました。

* 部分的な PUT で使用される一時ファイルのライフサイクルが強化されました。

不具合修正(Coyote)

* Tomcat がサポートしていない登録済みの HTTP/2 設定について、警告をログに記録しないように修正されました。これらの設定は、現在暗黙的に無視されるようになりました。

* Http11InputBuffer を再利用する際に発生する可能性がある稀な NullPointerException を回避するように修正されました。

* NIO コネクタのポーラーイベント処理時に無効なソケットチャネルがログに記録されるレベルが debug に引き下げられました。これは通常の使用状況で発生する可能性があるためです。

* ChunkedInputFilter の available メソッドでの CRLF スキップ処理が改善されました。(69545)

* getHeader() の繰り返し呼び出しのパフォーマンスが改善されました。

* Java 24 で sun.misc.Unsafe::invokeCleaner を使用する際の警告が、実際にコードが使用される場合にのみ JRE によって報告されるようになりました。(69559)

不具合修正(Jasper)

* 69382 におけるリグレッションが修正されました。このバグにより、page 属性と body の両方にパラメータが含まれている場合に JSP の include アクションが機能しなくなっていました。(69508)

* 式言語パーサーの識別子のバリデーションを更新し、Java 9 以降では _ が Java のキーワードとなり、識別子として使用できなくなったことが反映されました。

* Java 言語仕様で定義されている EL 識別子の有効な文字範囲全体を EL パーサーで許可するように更新されました。(69521)

* ExpressionFactory インスタンスの作成が最適化されました。(69532)

不具合修正(Web applications)

* ドキュメント: SSLHostConfig 要素の truststoreProvider 属性のデフォルト値をより明確に記載するように修正されました。

機能追加・改良(Catalina)

* WebDAV サーブレットで使用される可能性のある DataSourcePropertyStore に tableName 設定が追加されました。

* RFC 9110 に従って HTTP If ヘッダー処理が改善されました。

* Resources 要素で readOnly 属性の設定を許可し、メインリソースの readOnly 属性値を設定できるようになりました。この属性値はデフォルトおよび WebDAV サーブレットでも使用されます。

* 1 つ以上の Web アプリケーションが CVE-2024-56337 の脆弱性の影響を受ける可能性がある場合、JVM が適切に保護されているかを確認し、適切でない場合は正しく設定するようになりました。また、1つ以上の Web アプリケーションが CVE-2004-56337 の脆弱性の影響を受ける可能性があり、JVM を正しく設定できない、または設定確認ができない場合、影響を受ける Web アプリケーションの起動を防止するようになりました。

* 指定されたパスの処理が通常の要求処理と一致するように、RequestDispatcher インスタンスの作成がリファクタリングされました。

* Context に encodingReverseSolidusHandling 属性と encodingSolidusHandling 属性を追加して、RequestDispatcher の作成に使用されるパスの処理の挙動を制御できるようになりました。

機能追加・改良(Coyote)

* HTTP/2 ストリームの参照をリクエスト処理完了後にクリーンアップし、GC を助けるとともに、HTTP/2 のリサイクルされたリクエストおよびレスポンスキャッシュのサイズを縮小するようになりました。

* Connector の新しい設定属性 encodedReverseSolidusHandling を追加し、URL 内の %5c シーケンスの処理方法を制御できるようになりました。デフォルトの動作は変更されておらず (デコードされる)、allowBackslash 属性がデコード後の URI の処理方法を決定するようになりました

機能追加・改良(Web applications)

* ドキュメント: mapperContextRootRedirectEnabled および mapperDirectoryRedirectEnabled を true に設定する際のセキュリティ上の影響に関する説明が拡充されました。

機能追加・改良(Other)

* Commons Daemon が 1.4.1 に更新されました。

* Tomcat Migration Tool for Jakarta EE の同梱バージョンが 1.0.9 に更新されました。

* 内部で使用している Commons Pool が 2.12.1 に更新されました。

* Byte Buddy が 1.16.1 に更新されました。

* UnboundID が 7.0.2 に更新されました。

* Checkstyle が 10.21.2 に更新されました。

* SpotBugs が 4.9.0 に更新されました。

* フランス語翻訳の改善が行われました。

* 中国語翻訳の改善が行われました。

* 日本語翻訳の改善が行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.35_(schultz)