脆弱性修正

* Tomcat はログメッセージ内の ANSI エスケープシーケンスをエスケープしていませんでした。Tomcat が Windows 上のコンソールで実行されており、そのコンソールが ANSI エスケープシーケンスをサポートしている場合、攻撃者は特別に細工された URL を使用して ANSI エスケープシーケンスを注入し、コンソールやクリップボードを操作して、管理者に攻撃者が制御するコマンドを実行させようとすることが可能でした。既知の攻撃経路は確認されていませんが、他のオペレーティングシステムでもこの攻撃が成立する可能性があります。(CVE-2025-55754)

* バグ 60013 の修正により、書き換えられた URL がデコードされる前に正規化されるというリグレッションが発生していました。これにより、クエリパラメータを URL に書き換えるリライトルールにおいて、攻撃者がリクエスト URI を操作し、/WEB-INF/ や /META-INF/ の保護を含むセキュリティ制約を回避できる可能性が生じました。さらに、PUT リクエストが有効になっている場合、悪意のあるファイルがアップロードされ、リモートコード実行につながる可能性があります。PUT リクエストは通常、信頼されたユーザーに限定されており、URI を操作するリライトと併用して有効化される可能性は低いと考えられます。(CVE-2025-55752)

不具合修正(Catalina)

* PersistentValve 使用時にセッション FileStore 実装で発生していた同時アクセスの問題が修正され、セッションが失われる不具合が解消されました。(69781)

* RewriteValve における QSA および QSD フラグの処理が修正されました。

不具合修正(Coyote)

* PEMFile が処理に失敗した場合でも、適切なログを出力した上で OpenSSL に鍵が渡されるようになりました。

* PEMFile に新しい ML-DSA 鍵アルゴリズムが追加され、鍵の読み込みに失敗した際のレポートが改善されました。

* 待機中のスレッドが意図せず起こされることによって発生する可能性があったネットワーク操作の早期タイムアウトが修正されました。

不具合修正(Cluster)

* NonBlockingCoordinator におけるリーダー選出時の意図せずスレッドが再開される問題が修正されました。

* RpcChannel によるメッセージ送信時の意図せずスレッドが再開される問題が修正されました。

機能追加・改良(Catalina)

* 不要なパッケージが catalina-deployer.jar から削除されました。

機能追加・改良(Other)

* ログ出力の見直しが行われ、例外が発生した際のエラーや警告のログにおいて、従来の例外メッセージのみではなく、フルスタックトレースと例外メッセージがデフォルトで含まれるようになりました。

* ログフォーマッターにエスケープ処理が追加され、JSON フォーマッターとの整合性が取られるようになりました。

* Checkstyle が 11.0.0 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.45_(schultz)

脆弱性修正

* Tomcat の HTTP/2 実装には、「made you reset」攻撃に対する脆弱性がありました。このサービス拒否は、通常 OutOfMemoryError として現れます。(CVE-2025-48989)

不具合修正(Catalina)

* 1つ以上の JAR ファイルを含むパックされた WAR を使用する場合のアーカイブインデックスのブルームフィルターの設定が修正されました。

不具合修正(Coyote)

* 同期リクエストの後に HTTP/1.1 を使用する際、keep-alive タイムアウトを設定するための呼び出しが抜けていた問題が修正されました。これは AJP では存在していました。(69748)

* HPACK による整数のデコード中に発生する可能性のあるオーバーフローが修正されました。HPACK でデコードされた整数の最大許容値は Integer.MAX_VALUE です。(69762)

* HTTP/2 のオーバーヘッドに関するドキュメント (特にコードコメント) が更新され、PRIORITY フレームの廃止が反映されるとともに、ストリームのリセットが常にオーバーヘッドの増加を引き起こすことが明確にされました。

* 整数の HPACK デコードに関する追加のオーバーフローが修正されました。(69762)

不具合修正(WebSocket)

* WebSocket クライアント接続の拡張機能処理が、WebSocket サーバ接続と合わせられました。WebSocket クライアントは、エンドポイントがオープニングハンドシェイクで要求した拡張機能を、クライアント自身がその拡張機能をサポートしている場合にのみ含めるようになりました。

不具合修正(Web applications)

* Manager および Host Manager の Web アプリケーションには、ROOT Web アプリケーションの favicon ファイルではなく、専用の favicon ファイルが提供されるようになりました。ROOT Web アプリケーションの favicon が存在しない場合や、全く異なるものを表している可能性があるためです。

機能追加・改良(Cluster)

* DeltaManager に enableStatistics 設定属性が追加され、デフォルトが true に設定されました。

機能追加・改良(Other)

* Checkstyle がバージョン 10.26.1 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.44_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.44