脆弱性修正

* Apache Tomcat 情報漏洩 CVE-2023-28708: RemoteIpFilter を、https に設定された X-Forwarded-Proto ヘッダを含む HTTP でリバースプロキシから受信したリクエストに使用した場合、Tomcat が作成したセッションクッキーに secure 属性が含まれていませんでした。このため、ユーザエージェントが安全ではないチャンネルでセッションクッキーを送信してしまう可能性がありました。この問題が修正されました。(CVE-2023-28708)

不具合修正(Catalina)

* Context にマップ不可能なリクエストからの cookie を Valve からアクセスできるようになりました。

* JPMS メタデータ中の Jakarta モジュール名が修正されました。(66438)

* 正しくない JAR URL からスキャンする際の ISE が回避され、ISE を捕捉していた Java 9+ リフレクションコードの削除に従う以前の動作がリストアされました。

* 正規表現が使用されていないところでは、String.replaceAll() ではなく String.replace() が使われるようになりました。

* RemoteIpFilter がリクエストが安全なチャンネル経由で投稿されたと判断した場合に JSessionId セキュア属性が欠けていた問題が修正されました。(66471)

不具合修正(Coyote)

* HTTP/2 レスポンスがボディを含んではいけない場合、ヘッダフレームにストリームの末尾フラグが設定され、データフレームが何も送られないことが保証されるようになりました。(66442)

* 全接続でフロー制御ウィンドウが使い果たされてしまったときに HTTP/2 上の WINDOW_UPDATE フレームの処理で ClassCastException が発生する可能性がありましたが、その原因が修正されました。(66455)

* 10.1.0-M17 で入ったリグレッションが修正されました。この問題は、useAsyncIO=true (NIO と NIO2 のデフォルト)が設定された Connector を使用した場合に HTTP/2 接続がタイムアウトするのを妨げていました。

不具合修正(Jasper)

* 式言語から varargs を受け付けるメソッドを呼び出す際に引数を一個しか渡していない呼び出しが修正されました。(66419)

* JSP 中の static フィールドのインポートがそのページで使用されているどの EL 式からも可視となるように修正されました。(66441)

不具合修正(Web applications)

* ドキュメント Web アプリケーションへのアクセスがデフォルトでは localhost からに限定されるようになりました。(66429)

* Examples Web アプリケーションへのアクセスがデフォルトでは localhost からに限定されるようになりました。(66429)

機能追加・改良(Catalina)

* Tomcat が使用する カスタム URL プロトコルハンドラをロードする ServiceLoader 機構を使用するように切り換えられました。

* 外部 Web サーバからのプロキシにリダイレクト可能なエラーレポートバルブが追加されました。

* RemoteIpFilter および RemoteIpValve 向けの内部プロキシを特定するのに使用される正規表現に RFC 6598 で定義される Shared Address Space (100.64.0.0/10) が追加されました。(66470)

機能追加・改良(Coyote)

* Tomcat 起動時に、設定された TLS 証明書のそれぞれについての基本的な情報がログ出力されるようになりました。

* 設定された TLS 証明書のログ出力用に org.apache.tomcat.util.net.NioEndpoint.certificate / org.apache.tomcat.util.net.Nio2Endpoint.certificate が追加されました。

機能追加・改良(Other)

* BND が 6.4.0 に更新されました。

* 韓国語翻訳が改善されました。

* OpenSSL 3.0.8 でビルドされた Windows バイナリを使用するために、Tomcat Native Library のパッケージ化バージョンが 2.0.3 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.6

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.6_(schultz)

不具合修正(General)

* メモリ割り当てがメモリフットプリントを削減するための SynchronizedStack での制限より大きくなっているバグが修正されました。

不具合修正(Catalina)

* Tomcat が使用するカスタムプロトコルハンドラをロードする ServiceLoader の仕組みを使用するスイッチが元に戻されました。元のシステムプロパティベースの方法がリストアされました。(66491)

不具合修正(Coyote)

* NIO2 での非同期操作後のインライン状態がリストアされ、予期しない例外が時々実装によりスローされるという事実を考慮したためです。(66482)

機能追加・改良(Catalina)

* mod_rewrite の書き換えマップのタイプに txt: と rnd: が追加されました。

* CONNECT メソッドを使用した HTTP リクエストをリジェクトする際、400 より適切なレスポンスである 501 が提示されるようになりました。

機能追加・改良(Coyote)

* HTTP/2 の scheme 疑似ヘッダの有効性の検査が追加されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.7_(schultz)