不具合修正(Catalina)

* getHeader メソッドなどを使用した際の Content-Length および Content-Type ヘッダーに関する不整合が修正されました。(69967)

* LoadBalancerDrainingValve におけるリダイレクト処理が改善されました。(69940)

不具合修正(Coyote)

* OCSP レスポンスのサイズ制限が追加されました。

* OpenSSL 開発ブランチとの整合性を維持するため、SSLHostConfig 要素の ciphers 属性を設定する際に、SSLv3、EXPORT、EXPORT40、EXPORT56、KRB5、kFZA、aFZA、eFZA、および FZA の各エイリアスはサポートされなくなりました。

* OpenSSL 開発ブランチとの整合性を維持するため、SSLHostConfig 要素の ciphers 属性を設定する際に、ARIAGCM および CBC の各エイリアスのサポートが追加されました。

* Connector のグループ設定において jdk.tls.namedGroups システムプロパティの値が尊重されるようになりました。

* TLS 1.3 対応後に無視されていた暗号スイート順序が再び尊重されるようになりました (TLS 1.3 は常に先頭)。(69964)

* 証明書取得失敗時に FFM コード内で x509 オブジェクトが解放されるようになりました。

* HPACK 例外処理が改善され、想定外の例外ではなく HpackException がスローされるようになりました。

* HTTP Host ヘッダーおよび :authority のポートが Long ではなく Integer に変換されるようになりました。

* HTTP/2 ヘッダー検証が緩和され、不正リクエスト時は接続リセットではなく適切なレスポンスが返るようになりました。

* chunked 転送エンコーディングの拡張の検証が追加されました。

* OCSP TRY_LATER 応答の FFM 処理が Tomcat Native と一致するよう修正されました。

* FFM コードにおいて、SSL_CTX_add_client_CA 呼び出し後に CA 証明書が解放されるようになりました。

* FFM コードにおいて、エラーが発生した場合に証明書チェーンが解放されるようになりました。

* FFM コードにおいて、ハンドシェイクの問題が IllegalStateException ではなく SSLException として報告されるようになりました。

* プロトコルホスト名の大文字小文字処理が修正されました。

不具合修正(Jasper)

* AstValue において PropertyNotFoundException の代わりに ArrayOutOfBoundsException が発生する問題が修正されました。(69948)

不具合修正(Cluster)

* Kubernetes メンバーシッププロバイダにおいて raw IPv6 がサポートされるようになりました。(69970)

不具合修正(WebSocket)

* DIGEST 認証ヘッダー内の不要なスペースが削除されました。(69972)

機能追加・改良(Coyote)

* 圧縮有効時に圧縮対象外とするエンコーディングを制御できる HTTP 設定 noCompressionEncodings が追加されました。

* HTTP/2 接続のクローズ時に Tomcat が送信する 2 つの最終 GOAWAY フレーム間の時間を設定できるようにするため、HTTP/2 の UpgradeProtocol 要素に drainTimeout が追加されました。(69870)

* APR Connector 使用時に、NIO Connector の使用を推奨する情報ログが出力されるようになりました。

* 単一の ciphers 設定属性から ciphers および cipherSuites の併用への移行を支援するため、ciphers 属性に指定された TLS 1.3 の暗号スイートは ciphers 属性から削除され、cipherSuites 属性の末尾に追加されるようになりました。この動作は Tomcat 12.0.x 以降で削除されます。

* 単体テスト用 OCSP レスポンダーが OpenSSL 依存から Bouncy Castle ベースに置き換えられました。

* Tomcat Native 2.x の推奨バージョンが 2.0.14 に更新されました。

機能追加・改良(Jasper)

* JSP コンパイル時のソース/ターゲットとして Java 27 が指定できるようになりました。これらの値をサポートしていない Eclipse JDT コンパイラのバージョンで使用した場合は、警告がログに出力され、デフォルト値が使用されるようになりました。

機能追加・改良(Cluster)

* EncryptInterceptor に JPA プロバイダの新しいアルゴリズム対応が追加されました。

機能追加・改良(Web applications)

* HTML マネージャアプリケーションのフィールドに が追加されました。(69931)

機能追加・改良(Other)

* Apache Commons BCEL が 6.12.0 に更新されました。

* Tomcat Native が 2.0.14 に更新されました。

* Objenesis が 3.5 に更新されました。

* Byte Buddy が 1.18.7 に更新されました。

* BND が 7.2.1 に更新されました。

* フランス語翻訳が改善されました。

* 中国語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.53_(schultz)

本リリースノートには Tomcat バージョン 10.1.52 および 10.1.51 のリリース情報が記載されています。10.1.51 は単独ではリリースされていません。

10.1.52

脆弱性修正

* OCSP を使用する場合、Tomcat の OpenSSL を使用したFFM統合では、OCSP レスポンスの検証および有効性 (フレッシュネス) の確認が完全に実施されていませんでした。その結果、証明書の失効確認が回避される可能性があります。(CVE-2026-24734)

不具合修正(Coyote)

* Tomcat のシャットダウン時に発生する Tomcat Native のクラッシュに対する前回の修正に含まれていた不具合が修正され、重大なメモリリークが発生していた問題が修正されました。(69936)

10.1.51

不具合修正(Catalina)

* リソースキャッシュが有効な Web アプリケーション内から ClassLoader.getResource().getContent() を呼び出した際、対象リソースが JAR ファイル内にある場合に失敗していた長年のリグレッションに対して、追加修正が行われました。(69623)

* CsrfPreventionFilter において、URL に複数の CSRF トークンが追加されないよう修正されました。

* content-length ヘッダーが設定されていない場合でも、HTTP/2 リクエストのリクエストパラメータが正しく解析されるようになりました。(69918)

* Rewrite Valve において URL エンコードエラーが発生した場合、置換文字を黙って使用するのではなく、例外がスローされるようになりました。

* リクエスト終了時のアクセスログパターンに関するリグレッションが修正され、誤ってリクエスト開始時刻が記録されていた問題が修正されました。(69932)

不具合修正(Coyote)

* TLS が有効なカスタムコネクタ使用時に発生する可能性があった NPE が回避されるように修正されました。

* FFM コードで暗号スイートリストを設定した際の警告が、tomcat-native の変更内容と一致するよう改善されました。

* ソケットクローズ直後に TLS オブジェクトが解放されるようになり、メモリ効率が改善されました。(69910)

* SSLHostConfig における JSSE と OpenSSL の設定スタイルチェックが緩和され、信頼属性とそれ以外の属性で異なる設定スタイルを使用できる既存実装が反映されました。

* JSSE の TLS 実装で OpenSSLConf の設定要素を使用した場合の警告メッセージが改善されました。

* FFM 経由で OpenSSL を使用する場合、CA 証明書が設定されていない、かつ設定失敗もしていない場合には、CA 証明書欠如の警告が出力されなくなりました。

* LibreSSL 3.5 未満のバージョンとの互換性を確保するため、OpenSSL FFM コードが修正されました。

* Tomcat のシャットダウン時にクラッシュを引き起こす可能性があった、OpenSSLEngine リソースの同時解放および Tomcat Native ライブラリの終了が防止されるように修正されました。

不具合修正(Jasper)

* 69333 に対する前回修正で発生していたリグレッションが修正され、タグに対して必ず reuse() または release() が呼び出されるようになりました。(69333)

不具合修正(WebSocket)

* WebSocket セッションから取得した Writer または OutputStream がクローズされている状態で書き込みを試みた場合、Writer で要求され、OutputStream で強く推奨されているとおり、IllegalStateException ではなく IOException がスローされるようになりました。(69920)

機能追加・改良(Catalina)

* Tomcat Native 1.x および 2.x それぞれについて、最小バージョンおよび推奨バージョンを個別に設定できるようになりました。あわせて、Tomcat Native 1.x の最小および推奨バージョンは 1.3.4 に、Tomcat Native 2.x の最小および推奨バージョンは 2.0.12 に更新されました。

* Tomcat が提供する Authenticator に ssoReauthenticationMode が追加され、SSO Valve の requireReauthentication 属性を Authenticator ごとに上書きできるようになりました。

機能追加・改良(Coyote)

* OpenSSL と JSSE の TLS 実装間の設定整合性確保のため、SSLHostConfig の ciphers 属性に含まれる TLSv1.3 の暗号スイートは常に無視されるようになり、無視された場合は警告がログに出力されるようになりました。

* TLSv1.3 の暗号スイートを設定するための ciphersuite 属性が SSLHostConfig に追加されました。

* JSSE ベースの TLS コネクタに OCSP サポートが追加され、JSSE および OpenSSL ベースの TLS 実装の双方において、コネクタごとに OCSP の使用可否を設定できるようになりました。また、OpenSSL のチェック内容が JSSE と整合されました。

* OCSP チェックにおいて、失敗を致命的としないソフトフェイルがサポートされるようになりました。(デフォルトでは無効)

* OpenSSL ベースの TLS 実装使用時に、OCSP_basic_verify に渡される検証フラグを設定できるようになりました。

機能追加・改良(Cluster)

* mapSendOptions に人間が読める名前を使用できることが文書化され、channelSendOptions とドキュメント内容が整合されました。(62814)

機能追加・改良(Other)

* 内部フォークの Commons Pool が 2.13.1 に更新されました。

* 内部フォークの Commons DBCP が 2.14.0 に更新されました。

* Commons Daemon が 1.5.1 に更新されました。

* ByteBuddy が 1.18.3 に更新されました。

* UnboundID が 7.0.4 に更新されました。

* Checkstyle が 12.3.1 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

* Tomcat Native が 2.0.12 に更新されました。

* GPG によるリリース成果物の署名を任意で無効化できるプロパティ「gpg.sign.files」が追加されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.52_(schultz)