不具合修正(Catalina)

* 部分的な PUT リクエストで指定された範囲と送信されたコンテンツ量が一致しない場合、400 を返すように修正されました。

* ExtendedAccessLogValve における time-taken トークンの解析処理が修正されました。

* SSL エンジンと FIPS モードの設定時に FFM OpenSSL コードの呼び出しが修正されました。

* RemoteIpFilter と RemoteIpValve のデフォルトの内部プロキシに IPv6 のローカルアドレス（RFC 4193 および RFC 4291）が追加されました。(69600)

* カスタム Web アプリケーションクラスローダーを使用しているユーザ、またはリフレクションを使用して Web アプリケーションクラスローダーに外部リポジトリを動的に追加しているユーザ向けに、見つからないクラスリソースキャッシュとの統合が改善されました。(69615)

* リソースキャッシュ有効時に Web アプリケーション内から ClassLoader.getResource().getContent() を呼び出すと失敗する長年の不具合が修正されました。(69623)

* JsonErrorReportValve での NullPointerException が修正されました。(69634)

* JsonErrorReportValve に、ErrorReportValve と同等のスローされた例外のスタックトレース出力が追加されました。

* RewriteValve における %nn URL エンコードの処理が改善され、書き換えルールでの %nn の使用方法がドキュメントに記載されました。

* WebappClassLoaderBase.getResource(“”) 呼び出し時の例外が修正されました。

不具合修正(Coyote)

* MD5 初期化失敗を許容するように修正されました。(69607)

* 無効な優先度フィールド値を持つ HTTP/2 の優先度フレームを無視するよう修正されました。(69614)

* HTTP/2 処理中の予期しないエラーの処理が改善されました。

* PROFILE=SYSTEM などの OpenSSL プロファイルを FFM 経由で処理するコードが欠けていた問題が修正されました。

不具合修正(Cluster)

* ReplicationValve におけるクロスコンテキストセッションのリセット処理が修正されました。

機能追加・改良(Catalina)

* 新しい RateLimiter 実装 org.apache.catalina.util.ExactRateLimiter が追加されました。これにより、org.apache.catalina.filters.RateLimitFilter と組み合わせて使用​​することで、設定された正確な値に基づいてレート制限の設定が可能になりました。

* Default サーブレットに新しい初期化パラメータ allowPostAsGet が追加されました。このパラメータは、POST メソッドを用いた静的リソースへの直接リクエスト（つまり、フォワードやインクルードではないリクエスト）を、GETメソッドが使用されたかのように処理するかどうかを制御します。許可されていない場合、リクエストは拒否されます。GET メソッドが使用されたかのようにリクエストを処理するデフォルトの動作は変更されていません。

機能追加・改良(Coyote)

* HTTPS 有効なコネクタでカスタム SSLContext を簡単に使用できるよう処理が簡略化されました。

機能追加・改良(Jasper)

* JSP ランタイムライブラリでのカスタム URL エンコードが java.net.URLEncoder.encode() の呼び出しに置き換えられました。

* Java Compiler API を使用するコンパイラを追加し、展開済みの Web アプリケーションがサポートされるようになりました。使用する compilerClassName は org.apache.jasper.compiler.JavaCompiler です。

* JSP コンパイルのコンパイラソースおよびコンパイラターゲットとして Java 25 (値 25) を指定できるようになりました。これらの値をサポートしていない Eclipse JDT コンパイラバージョンで使用すると、警告がログに記録され、デフォルト値が使用されます。

機能追加・改良(Web applications)

* ドキュメント: Tomcat の内部ログ出力に JULI ではなくLog4j を使用する方法を説明した Log4j ドキュメントへのリンクが追加されました。

* ドキュメント: Web アプリケーションが Request または ServletContext 経由で利用できるランタイム属性がドキュメント化されました。

機能追加・改良(Other)

* ファイルロックの問題を回避するため、JSign が 6.0 に戻されました。

* NSIS が 3.11 に更新されました。

* ByteBuddy が 1.17.4 に更新されました。

* Checkstyle が 10.21.4 に更新されました。

* SpotBugs が 4.9.3 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.40_(schultz)

本リリースノートには Tomcat バージョン 10.1.39、10.1.38 および 10.1.37 のリリース情報が記載されています。10.1.38 と 10.1.37 は単独ではリリースされていません。

10.1.38

不具合修正(Catalina)

* 2024 年 12 月のリリースで発生した回帰が修正されました。これにより、If-Range ヘッダー内の弱い ETag が厳しすぎて 400 レスポンスで拒否される問題が解決されるようになりました。If-Range ヘッダーでは強い ETag が必要であるため、弱い ETag は一致失敗として扱われるようになりました。(69602)

10.1.37

不具合修正(Catalina)

* リソース名でクラスローダーリソースを検索する際、リソース名は「/」で始まらないように修正されました。リソース名が「/」で始まる場合、Tomcat は「/」が存在しないかのように検索を行います。Web アプリケーションクラスローダーが外部リポジトリで設定され、「/」で始まる名前が検索に使用された場合、キャッシュされた「見つからない」という結果によって、正しいリソース名を使用した検索結果が隠される可能性がありました。

* GSSAPI 認証を使用するように設定されたレルムで、HttpServletRequest.login(String username, String password) に提供された資格情報を JNDIRealm で検証できるようになりました。

* Java 19 と Java 20 が Java 21 機能をサポートしていると誤って識別していた JRE 互換性検出の不具合が修正されました。

* CVE-2024-56337 への露出および保護のチェックを改善し、必要でない限りリフレクションが使用されないように修正されました。ファイルシステムが大文字と小文字を区別するかどうかのチェックが削除されました。

* 部分的な PUT に使用される一時ファイルが削除されないシナリオを回避するように修正されました。

不具合修正(Coyote)

* 既に compress、deflate または zstd を使用して圧縮されたレスポンスに対して圧縮を使用しないように修正されました。(69575)

* HTTP/2 ストリームリセットの処理で競合状態が発生し、予期しない 500 レスポンスが発生する問題が修正されました。

機能追加・改良(Catalina)

* AccessLogValve および ExtendedAccessLogValve で接続 ID（ServletRequest.getServletConnection().getConnectionId() で返される）をログに記録するサポートが追加されました。

機能追加・改良(Coyote)

* クライアントが gzip を含む TE ヘッダーを送信した場合、圧縮には Content-Encoding ではなく Transfer-Encoding を使用するようになりました。

機能追加・改良(Cluster)

* KubernetesMembershipProvider 実装にサービスアカウントのトークン変更を検出する機能を追加し、トークンが変更された場合はリロードするようになりました。(69598)

機能追加・改良(Other)

* 非 Windows プラットフォームで Windows 用インストーラーをビルドするためのオプションとして makensis が追加されました。

* Byte Buddy が 1.17.1 に更新されました。

* Checkstyle が 10.21.3 に更新されました。

* SpotBugs が 4.9.1 に更新されました。

* JSign が 7.1 に更新されました。

* フランス語翻訳の改善が行われました。

* 日本語翻訳の改善が行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.39_(schultz)