脆弱性修正

* FFM が使用され、かつソフトフェイルが無効化されている場合でも、一部のシナリオにおいて CLIENT_CERT 認証が期待どおり失敗しない問題がありました。(CVE-2026-34500)

* クラスタリングコンポーネントのクラウドメンバーシップにおいて、ログファイルへの機密情報挿入の脆弱性により、Kubernetes のベアラートークンが漏洩する可能性がありました。(CVE-2026-34487)

* CVE-2026-29146 の修正における不備により、EncryptInterceptor がバイパスされる問題がありました。(CVE-2026-34486)

* Connector 属性の relaxedPathChars および/または relaxedQueryChars にデフォルト以外の値が設定されている場合、エスケープ処理が不完全となり、JSON アクセスログへ任意の JSON を注入できる問題がありました。(CVE-2026-34483)

不具合修正(Catalina)

* アクセスログにおいて、URI およびクエリ文字列のエスケープが追加されました。

不具合修正(Coyote)

* 無効な HEADERS フレームが受信された場合に、GOAWAY フレームなしで接続が閉じられてしまう可能性があった HTTP/2 ヘッダーフレーム解析の不具合が修正されました。

* NIO+TLS におけるノンブロッキングフラッシュ処理の不具合が修正され、接続が閉じられるまでレスポンスが完全に書き込まれない問題が修正されました。(69982)

* ストリームリセット後に、HTTP/2 リクエストヘッダー読み取りバッファが（デフォルトサイズへの復元を含めて）リセットされるようになりました。

* 各種 OCSP のエッジケースにおいて、OpenSSL FFM の挙動が Tomcat Native と一致するように調整されました。

不具合修正(Cluster)

* Kubernetes への接続試行および失敗時のログ出力の冗長性が削減されました。

* EncryptInterceptor におけるエラーハンドリングが改善されました。

機能追加・改良(Coyote)

* tomcat-native における OpenSSLEngine のバッファ再利用が、FFM コードと整合するように調整されました。

* トレーラーフィールドに対して、非トレーラーフィールドと同等のフィルタリングが提供されるようになりました。制御文字 (TAB を除く) およびコードポイント 255 を超える文字はスペースに置き換えられるようになりました。

機能追加・改良(Other)

* bnd が 7.2.3 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.54_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.54

不具合修正(Catalina)

* getHeader メソッドなどを使用した際の Content-Length および Content-Type ヘッダーに関する不整合が修正されました。(69967)

* LoadBalancerDrainingValve におけるリダイレクト処理が改善されました。(69940)

不具合修正(Coyote)

* OCSP レスポンスのサイズ制限が追加されました。

* OpenSSL 開発ブランチとの整合性を維持するため、SSLHostConfig 要素の ciphers 属性を設定する際に、SSLv3、EXPORT、EXPORT40、EXPORT56、KRB5、kFZA、aFZA、eFZA、および FZA の各エイリアスはサポートされなくなりました。

* OpenSSL 開発ブランチとの整合性を維持するため、SSLHostConfig 要素の ciphers 属性を設定する際に、ARIAGCM および CBC の各エイリアスのサポートが追加されました。

* Connector のグループ設定において jdk.tls.namedGroups システムプロパティの値が尊重されるようになりました。

* TLS 1.3 対応後に無視されていた暗号スイート順序が再び尊重されるようになりました (TLS 1.3 は常に先頭)。(69964)

* 証明書取得失敗時に FFM コード内で x509 オブジェクトが解放されるようになりました。

* HPACK 例外処理が改善され、想定外の例外ではなく HpackException がスローされるようになりました。

* HTTP Host ヘッダーおよび :authority のポートが Long ではなく Integer に変換されるようになりました。

* HTTP/2 ヘッダー検証が緩和され、不正リクエスト時は接続リセットではなく適切なレスポンスが返るようになりました。

* chunked 転送エンコーディングの拡張の検証が追加されました。

* OCSP TRY_LATER 応答の FFM 処理が Tomcat Native と一致するよう修正されました。

* FFM コードにおいて、SSL_CTX_add_client_CA 呼び出し後に CA 証明書が解放されるようになりました。

* FFM コードにおいて、エラーが発生した場合に証明書チェーンが解放されるようになりました。

* FFM コードにおいて、ハンドシェイクの問題が IllegalStateException ではなく SSLException として報告されるようになりました。

* プロトコルホスト名の大文字小文字処理が修正されました。

不具合修正(Jasper)

* AstValue において PropertyNotFoundException の代わりに ArrayOutOfBoundsException が発生する問題が修正されました。(69948)

不具合修正(Cluster)

* Kubernetes メンバーシッププロバイダにおいて raw IPv6 がサポートされるようになりました。(69970)

不具合修正(WebSocket)

* DIGEST 認証ヘッダー内の不要なスペースが削除されました。(69972)

機能追加・改良(Coyote)

* 圧縮有効時に圧縮対象外とするエンコーディングを制御できる HTTP 設定 noCompressionEncodings が追加されました。

* HTTP/2 接続のクローズ時に Tomcat が送信する 2 つの最終 GOAWAY フレーム間の時間を設定できるようにするため、HTTP/2 の UpgradeProtocol 要素に drainTimeout が追加されました。(69870)

* APR Connector 使用時に、NIO Connector の使用を推奨する情報ログが出力されるようになりました。

* 単一の ciphers 設定属性から ciphers および cipherSuites の併用への移行を支援するため、ciphers 属性に指定された TLS 1.3 の暗号スイートは ciphers 属性から削除され、cipherSuites 属性の末尾に追加されるようになりました。この動作は Tomcat 12.0.x 以降で削除されます。

* 単体テスト用 OCSP レスポンダーが OpenSSL 依存から Bouncy Castle ベースに置き換えられました。

* Tomcat Native 2.x の推奨バージョンが 2.0.14 に更新されました。

機能追加・改良(Jasper)

* JSP コンパイル時のソース/ターゲットとして Java 27 が指定できるようになりました。これらの値をサポートしていない Eclipse JDT コンパイラのバージョンで使用した場合は、警告がログに出力され、デフォルト値が使用されるようになりました。

機能追加・改良(Cluster)

* EncryptInterceptor に JPA プロバイダの新しいアルゴリズム対応が追加されました。

機能追加・改良(Web applications)

* HTML マネージャアプリケーションのフィールドに が追加されました。(69931)

機能追加・改良(Other)

* Apache Commons BCEL が 6.12.0 に更新されました。

* Tomcat Native が 2.0.14 に更新されました。

* Objenesis が 3.5 に更新されました。

* Byte Buddy が 1.18.7 に更新されました。

* BND が 7.2.1 に更新されました。

* フランス語翻訳が改善されました。

* 中国語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.53_(schultz)