脆弱性修正

* マルチパートアップロードの処理中にエラー (制限の超過を含む) が発生した場合、ローカルストレージに書き込まれたアップロードされた各パートの一時コピーは直ちに削除されず、ガベージコレクションプロセスによる削除に委ねられていました。JVM の設定、アプリケーションのメモリ使用量、およびアプリケーションの負荷によっては、ガベージコレクションがこれらを削除するよりも速く一時コピーのための領域が埋まってしまい、サービス拒否 (DoS) につながる可能性がありました。(CVE-2025-61795)

不具合修正(Catalina)

* HTTP メソッドは大文字小文字を区別する仕様であるため、メソッド比較時に常に大文字小文字を区別して比較するようになりました。

* クライアントがセッションに参加した後、HttpSession.isNew() が false を返すようになりました。(69814)

* ParameterMap のパフォーマンスがさらに改善されました。

* トレーラーヘッダーの許可リストにおける大文字小文字の区別に関する問題が修正されました。

* マルチパートアップロードの失敗時に、一時ファイルをガベージコレクション任せにせず、積極的にクリーンアップするようになりました。

不具合修正(Coyote)

* HTTP リクエストヘッダー名の大文字小文字を強制的に小文字化せず、元の表記を保持して格納するようになりました。

不具合修正(Cluster)

* チャネル設定 (送信者、受信者、メンバーシップ サービス) が、チャネルが完全に停止していない状態では変更できないようになりました。

不具合修正(Web applications)

* ドキュメントが更新され、Connector 要素の maxPostSize 属性の目的が明確になりました。

* Manager Web アプリで証明書情報を表示する際に発生していた NullPointerException を回避するように修正されました。

機能追加・改良(Catalina)

* アクセスログのタイムスタンプが、Instant リクエスト処理の開始時点を基準にするようリファクタリングされました。

機能追加・改良(Coyote)

* TLS 1.3 においてポスト量子暗号に対応する証明書選択ロジックが追加されました。MLDSA タイプで定義された証明書は、TLS クライアントの Hello メッセージに応じて選択されるようになりました。

* SSLHostConfig に groups 属性が追加され、SSL エンジンで有効化できるグループを制限できるようになりました。

* HTTP メソッドをバイト形式から文字列形式に変換する処理が最適化されました。

機能追加・改良(Other)

* Byte Buddy が 1.17.7 に更新されました。

* Checkstyle が 11.1.0 に更新されました。

* SpotBugs が 4.9.6 に更新されました。

* Jsign が 7.2 に更新されました。

* ロシア語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* JULI ロガーにおける軽微なリファクタリングが行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.47_(schultz)

不具合修正(Catalina)

* 69781 の修正によって発生していた FileStore の不具合が修正されました。

機能追加・改良(Catalina)

* デフォルトの Servlet で強い ETag (有効な場合) を計算する際に使用するダイジェストが SHA-1 から SHA-256 に変更されました。これは、強い ETag を生成する際に使用するハッシュ関数は衝突耐性を持つべきであるとする RFC 9110 の推奨に従ったものです。

機能追加・改良(Coyote)

* mod_ssl のコードに基づいて、OpenSSL にハイブリッド PQC サポートが追加されました。この OpenSSL 固有のコードパスを使用することで、従来の証明書を利用するコンテキストに、MLDSA タイプで定義された追加の PQC 証明書が設定されるようになりました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.46_(schultz)