不具合修正(Catalina)

* CVE-2004-56337 のチェックのために導入された未処理の例外により、JreCompat の初期化が失敗する可能性がある問題が回避されました。(69576)

機能追加・改良(Other)

* ログを 1 行の JSON ドキュメントとしてフォーマットするために、org.apache.juli.JsonFormatter が追加されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.36_(schultz)

不具合修正(Catalina)

* インクルードされたリクエストのパラメーターマップ作成が最適化されました。 (69285)

* キャッシュされたリソースがコンテンツ長 0 で設定される、または即座に削除されるという稀なケースを回避するように修正されました。(69527)

* WebDAV の LOCK および PROPFIND において、リクエストボディなしと判定する際のエッジケース（HTTP/1.0 など）が修正されました。

* Resources の bloom archiveIndexStrategy にマルチリリース JAR のサポートが追加されました。(69528)

* WebDAV サーブレットで WEB-INF および META-INF のチェックが強化されました。

* CrawlerSessionManagerValve から未使用のセッション・クライアントマップが削除されました。

* WebDAV サーブレットで serveSubpathOnly を true に設定した場合、WebDAV 操作の対象となる宛先もサブパスに制限されるよう修正されました。

* DELETE リクエストに対して対象リソースが削除できない場合、デフォルトサーブレットが 405 (method not allowed) を返す際に適切な Allow HTTP ヘッダーを生成するようになりました。

* 非コンテナスレッドで非同期処理中に IOException が発生した際、NullPointerException が発生する可能性が修正されました。

* 部分的な PUT で使用される一時ファイルのライフサイクルが強化されました。

不具合修正(Coyote)

* Tomcat がサポートしていない登録済みの HTTP/2 設定について、警告をログに記録しないように修正されました。これらの設定は、現在暗黙的に無視されるようになりました。

* Http11InputBuffer を再利用する際に発生する可能性がある稀な NullPointerException を回避するように修正されました。

* NIO コネクタのポーラーイベント処理時に無効なソケットチャネルがログに記録されるレベルが debug に引き下げられました。これは通常の使用状況で発生する可能性があるためです。

* ChunkedInputFilter の available メソッドでの CRLF スキップ処理が改善されました。(69545)

* getHeader() の繰り返し呼び出しのパフォーマンスが改善されました。

* Java 24 で sun.misc.Unsafe::invokeCleaner を使用する際の警告が、実際にコードが使用される場合にのみ JRE によって報告されるようになりました。(69559)

不具合修正(Jasper)

* 69382 におけるリグレッションが修正されました。このバグにより、page 属性と body の両方にパラメータが含まれている場合に JSP の include アクションが機能しなくなっていました。(69508)

* 式言語パーサーの識別子のバリデーションを更新し、Java 9 以降では _ が Java のキーワードとなり、識別子として使用できなくなったことが反映されました。

* Java 言語仕様で定義されている EL 識別子の有効な文字範囲全体を EL パーサーで許可するように更新されました。(69521)

* ExpressionFactory インスタンスの作成が最適化されました。(69532)

不具合修正(Web applications)

* ドキュメント: SSLHostConfig 要素の truststoreProvider 属性のデフォルト値をより明確に記載するように修正されました。

機能追加・改良(Catalina)

* WebDAV サーブレットで使用される可能性のある DataSourcePropertyStore に tableName 設定が追加されました。

* RFC 9110 に従って HTTP If ヘッダー処理が改善されました。

* Resources 要素で readOnly 属性の設定を許可し、メインリソースの readOnly 属性値を設定できるようになりました。この属性値はデフォルトおよび WebDAV サーブレットでも使用されます。

* 1 つ以上の Web アプリケーションが CVE-2024-56337 の脆弱性の影響を受ける可能性がある場合、JVM が適切に保護されているかを確認し、適切でない場合は正しく設定するようになりました。また、1つ以上の Web アプリケーションが CVE-2004-56337 の脆弱性の影響を受ける可能性があり、JVM を正しく設定できない、または設定確認ができない場合、影響を受ける Web アプリケーションの起動を防止するようになりました。

* 指定されたパスの処理が通常の要求処理と一致するように、RequestDispatcher インスタンスの作成がリファクタリングされました。

* Context に encodingReverseSolidusHandling 属性と encodingSolidusHandling 属性を追加して、RequestDispatcher の作成に使用されるパスの処理の挙動を制御できるようになりました。

機能追加・改良(Coyote)

* HTTP/2 ストリームの参照をリクエスト処理完了後にクリーンアップし、GC を助けるとともに、HTTP/2 のリサイクルされたリクエストおよびレスポンスキャッシュのサイズを縮小するようになりました。

* Connector の新しい設定属性 encodedReverseSolidusHandling を追加し、URL 内の %5c シーケンスの処理方法を制御できるようになりました。デフォルトの動作は変更されておらず (デコードされる)、allowBackslash 属性がデコード後の URI の処理方法を決定するようになりました

機能追加・改良(Web applications)

* ドキュメント: mapperContextRootRedirectEnabled および mapperDirectoryRedirectEnabled を true に設定する際のセキュリティ上の影響に関する説明が拡充されました。

機能追加・改良(Other)

* Commons Daemon が 1.4.1 に更新されました。

* Tomcat Migration Tool for Jakarta EE の同梱バージョンが 1.0.9 に更新されました。

* 内部で使用している Commons Pool が 2.12.1 に更新されました。

* Byte Buddy が 1.16.1 に更新されました。

* UnboundID が 7.0.2 に更新されました。

* Checkstyle が 10.21.2 に更新されました。

* SpotBugs が 4.9.0 に更新されました。

* フランス語翻訳の改善が行われました。

* 中国語翻訳の改善が行われました。

* 日本語翻訳の改善が行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.35_(schultz)

脆弱性修正

* 以前の CVE-2024-50379 に対する緩和策は不完全でした。9.0.98 以降にアップグレードすることに加えて、デフォルトのサーブレット書き込みが有効になっている大文字と小文字を区別しないファイルシステムで Tomcat を実行しているユーザーは、使用している Java のバージョンに応じて追加の構成が必要になる場合があります。本件は 2024/12/20 に公開されています。(CVE-2024-56337)

• Java 8 または Java 11 を使用している場合: システムプロパティsun.io.useCanonCachesを明示的にfalseに設定する必要があります。(デフォルトは true です)
• Java 17 を使用している場合: システムプロパティsun.io.useCanonCaches が設定されている場合、それを false に設定する必要があります。(デフォルトは false です)
• Java 21 以降を使用している場合: 追加の設定は不要です。(このシステムプロパティおよび問題のあるキャッシュは削除されています)

* 複数の Web アプリケーションサンプルでは、アップロードされたデータに制限が設けられておらず、OutOfMemoryError がトリガーされてサービス拒否が発生する可能性がありました。本件は 2024/12/17 に公開されています。(CVE-2024-54677)

* 大文字と小文字を区別しないファイル システムに対して、デフォルトのサーブレットが書き込み可能 (readonly 初期化パラメータがデフォルト以外の値である false に設定) になっている場合、同じファイルの読み込み中に読み取りとアップロードを同時に実行すると、Tomcat の大文字と小文字の区別のチェックがバイパスされ、アップロードされたファイルが JSP として扱われ、リモートコード実行につながる可能性がありました。本件は 2024/12/17 に公開されています。(CVE-2024-50379)

不具合修正(Catalina)

* storeconfig の SSLHostConfig の protocols 属性に特別な処理が追加されました。

* リクエストパラメータを解析する際の content-type での大文字と小文字を区別するチェックが修正されました。(69442)

* コンストラクターまたはプロパティ関連のメソッドがチェック済み例外をスローするコンポーネントと、生成された埋め込みコードの互換性が修正されました。

* 同時読み取りおよび書き込み中のリソースメタデータの不一致に対する以前の修正は不完全でした。この問題が修正されました。

* content-range ヘッダーの長さが修正されました。

* アプリケーション定義のエラーページが呼び出されるときに、jakarta.servlet.error.message リクエスト属性が設定されていることを確認するように修正されました。(69444)

* ステータスサーブレットによって生成された JSON 内の数値に引用符を使用しないように修正されました。

* ディレクトリリストにクライアントロケールを使用するように修正されました。

* ExpiresFilter の複数の Cache-Control ヘッダーの処理が改善されました。(69439)

* 外部リポジトリからロードされたクラスを考慮し、Web アプリケーションのクラスローダーが見つけられないクラスのキャッシュサポートが更新されました。この修正が行われる前は、これらのクラスは誤って見つからないとマークされる可能性がありました。(69447)

* HEAD リクエストの処理が見直されました。ユーザーが明示的に設定したヘッダーは削除されず、HEAD リクエストに存在するヘッダーは同等の GET リクエストにも存在します。RFC 9110 のセクション 9.3.2 に従って、GET リクエストに存在するが同等の HEAD リクエストには存在しないヘッダーがいくつかある可能性がありました。(69466)

* ApplicationDispatcher.invoke() によってキャッチされた CloseNowException のインスタンスが、クライアントの切断や同様の I/O の問題によって発生した可能性が高いため、エラーレベルではなくデバッグレベルでログに記録するように変更されました。(69471)

* DefaultServlet で PUT の失敗を報告しようとするときに、考えられる ISE をキャッチするように変更されました。(69476)

* デフォルトサーブレットは、要求された範囲が2つ以上重複している場合に HTTP 範囲要求を拒否するようになりました。

* デフォルトサーブレットによって処理される部分的な PUT 要求のコンテンツ範囲検証が強化されました。

* グローバルリソースでの DataSourceStore ルックアップを調整し、通常使用されない comp/env プレフィックスを省略できるようになりました。

* RFC 9110 で要求されているように、HTTP Range ヘッダーは GET 要求に対してのみ処理されるようになりました。

* デフォルトサーブレットの useAcceptRanges 初期化パラメータが廃止されました。このパラメータは Tomcat 12 以降で削除され、実質的に true にハードコードされます。

不具合修正(Coyote)

* encodedSolidusHandling がサーブレット仕様に合わせて調整されました。パススルーモードが使用されている場合、アプリケーションがパスをデコードするときにエラーや破損を回避するために、%25 シーケンスもパススルーされるようになりました。

不具合修正(Jasper)

* 69381 の修正に続き、式言語でのメソッドルックアップパフォーマンスの最適化が追加の場所にも適用されました。

不具合修正(Web applications)

* ドキュメント: ResourceParams 要素への参照が削除されました。Tomcat 5.5.x では、ResourceParams のサポートが削除されました。

* ドキュメント: RemoteIPFilter の属性名が修正されました。属性は allowedInternalProxies ではなく internalProxies です。(69477)

* 例：サーブレットリクエスト情報の例が、pathInfo コンポーネントを含む URL 経由で呼び出された場合に発生するリンク切れが修正されました。

* 例：リクエストヘッダーの例でのセッションクッキー値の難読化が JSONレスポンスにも拡張されました。

* 例：JSP カレンダーの例が削除されました。

不具合修正(Other)

* Tomcat 組み込み JAR を使用したネイティブイメージコンパイル中の警告が修正されました。(69465)

機能追加・改良(Catalina)

* DefaultServlet と同様に、WebDAV サーブレットでサブパスからのみリソースを提供するオプションが追加されました。

* コンテンツタイプからメディアタイプとサブタイプを抽出するための重複コードを1つのメソッドにリファクタリングされました。

* WebDAV およびデフォルトサーブレットに強力な ETag サポートが追加されました。これは、値を true に設定した useStrongETags 初期化パラメータを使用して有効にできます。生成される ETag は、リソースコンテンツの SHA-1 チェックサムになります。

* 69442 の修正のテストケースが追加されました。また、application/x-www-form-urlencoded への参照がリファクタリングされました。

* RateLimitFilter で HTTP の RateLimit ヘッダーフィールド (ドラフト) のサポートが追加されました。

* 69478 の回帰テストが追加されました。

* WebdavServlet に DataSource ベースのプロパティストレージが追加されました。

機能追加・改良(Web applications)

* 例：サーブレットセッションの例でセッション属性を削除する機能が追加されました。

* 例：サーブレットセッションの例でセッションごとに属性の最大数を 10 にハードコードで制限するようになりました。

* 例：JSP フォーム認証の例に、セッション属性を削除する機能が追加され、セッションごとに属性の最大数を 10 にハードコードで制限するようになりました。

* 例：ショッピングカートの例で、事前に定義されたアイテムのみをカートに追加できるように制限されました。

機能追加・改良(Other)

* Tomcat の Commons DBCP フォークが 2.13.0 に更新されました。

* EasyMock が 5.5.0 に更新されました。

* Checkstyle が 10.20.2 に更新されました。

* BND が 7.1.0 に更新されました。

* フランス語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* 中国語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.34_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.34

本リリースノートには Tomcat バージョン 10.1.33 および 10.1.32 のリリース情報が記載されています。10.1.32 は単独ではリリースされていません。

10.1.33

脆弱性修正

* 69333 の修正により、プールされた JSP タグが使用後に解放されなくなり、一部のタグの出力が期待どおりにエスケープされなくなる可能性がありました。このエスケープされていない出力により、XSS が発生する可能性がありました。本件は 2024/11/18 に公開されています。(CVE-2024-52318)

不具合修正(Other)

*リリースビルドの問題が修正されました。

10.1.32

不具合修正(Catalina)

* 部分的にマッピングされたリクエストで CrawlerSessionManagerValve 内の NPE (NullPointerException) が回避されるようになりました。

* フォルダーのロック時に、応答に WebDAV の Lock-Token ヘッダーが追加されるようになりました。

* 無効な WebDAV ロックリクエストは 400 エラーで拒否されるようになりました。

* コレクションをアンロックしようとしたときの WebDAV のリグレッションが修正されました。

* WebDAV コピー操作の宛先がロックされていないことを確認するようになりました。

* リクエスト本文を含む WebDAV MKCOL 操作はオプションでありサポートされていないため、415 応答を送信するようになりました。

* WebDAV XML 要素の名前空間で DAV: を強制するようになりました。

* 親コレクションがロックされている場合、子リソースに対する新しい WebDAV ロックを許可しないようになりました。(RFC 4918 セクション6.1)

* WebDAV DELETE は正常に削除されたリソースの既存のロックをすべて削除する必要がありました。この問題が修正されました。

* Web アプリケーションのクラスローダーリソースの検索時に、キャッシュが見つからないという結果が表示されていました。これにより、場合によっては同じクラスを繰り返し検索する java.sql.DriverManager などのコンポーネントによって発生するパフォーマンスの問題が解決されました。大規模な Web アプリケーションでは、これがパフォーマンスの問題を引き起こす可能性がありました。キャッシュのサイズは、StandardContext の新しい notFoundClassResourceCacheSize によって制御できるようになりました。

* サブコンポーネントが初期化後に FAILED 状態になる可能性があるため、INITIALIZED 状態後の停止は noop であるように修正されました。

* 同じリソースに対して PUT および DELETE 要求が同時に発生する場合の Web リソースキャッシュサイズの計算が不正確になる問題が修正されました。

* 同じパスに対する同時読み取りと書き込み (GET と PUT / DELETE など) により、一部のフィールドがファイルが存在するかのように設定され、一部のフィールドが存在しないかのように設定され、FileResource が破損しました。その結果、メタデータに一貫性がありませんでした。

* ExpiresFilter が GET および HEAD リクエストでのみキャッシュヘッダーを設定するようになりました。また、アプリケーションが Cache-Control: no-store を設定しているリクエストをスキップするようになりました。(69415)

* ネストされたインクルードが複数レベルある場合の ServletRequest.getAttribute() のパフォーマンスが改善されました。(69419)

不具合修正(Coyote)

* SSL 実装から返される長さゼロのバイト配列に対して、null SSL セッション ID を返すようになりました。

* BoringSSL はサポートされていないため、OpenSSLConf をスキップするようになりました。

* AbstractHttp11Protocol に HttpParser が存在しない場合は、Http11Processor に HttpParser を作成して、通常の HTTP/1.1 のライフサイクルの堅牢性が向上しました。この新しい動作は、HTTP/2 のパフォーマンスを向上させるために、以前のリファクタリングで導入されました。

* OpenSSLContext は、init メソッドで何か問題が発生したことが確認できた場合、KeyManagementException をスローするようになりました。これは javax.net.ssl.SSLContext.init で文書化されている動作です。これにより、エラー処理の一貫性が向上します。

* RFC 9110 のセクション 9.3.2 に従って、デフォルトの HEAD 応答にペイロード HTTP ヘッダーフィールドが含まれなくなりました。(69379)

不具合修正(Jasper)

* 古い生成コードとの互換性のため、ランタイムで非推奨のタグ解放メソッドが再度追加されました。

* タグプーリングを使用しているときにタグ解放が呼び出され、使用していないときにスキップされるというリグレッションが修正されました。このリグレッションは 69333 によって導入されました。(69399)

* 式言語でのメソッド検索のパフォーマンスが改善されました。必要なメソッドに引数がない場合は、キャストや強制を考慮する必要がなく、メソッド検索プロセスが簡素化されました。(69381)

* 生成されたコードで比較的コストのかかるメソッド呼び出しの結果を繰り返すのではなく再利用することで、JSP インクルードアクションのパフォーマンスが改善されました。(69382)

* PageContextImpl での不要なオブジェクト割り当てを回避するようになりました。(69398)

* StringInterpreterEnum を使用する場合、無効な Enum に遭遇しても IllegalArgumentException をスローしないようになりました。代わりに、実行時に値を解決するようになりました。(69406)

* パラメータを受け入れないメソッドのメソッドパラメータの EL 評価が最適化されました。(69429)

* メソッドパラメータの EL 評価がさらに最適化されました。

機能追加・改良(Catalina)

* 新しい Servlet API メソッド HttpServletResponse.sendEarlyHints() のサポートが追加されました。

* クラスが見つからない場合 (ClassNotFoundException 発生時) に、Digester や Web アプリケーションクラスローダーでクラスパスを報告するデバッグログが追加されました。(55470)

* DefaultServlet のリスト表示で、テーブルヘッダーとボディを適切に分離するようになりました。(69374)

* DefaultServlet の HTML リスト表示の「ファイル最終更新」のレンダリングが改善されました。(69373)

* DefaultServlet の HTML 出力が改善されました。

* FilterBase を基本クラスとして使用するように RateLimitFilter がリファクタリングされました。これを行う主な利点は、init-param 値を処理するコードが少なくなることです。

* DefaultServlet の HTML リスト表示で不正なラベルの使用が回避されました。(69370)

* RFC 4918 セクション 7.3 および付録Dに従い、WebDAV ロックの null サポートが削除されました。代わりに、存在しないリソースに対するロックは空のファイルを作成し、通常のロックでロックするようになりました。

* RFC 4918 に準拠するよう WebDAV 共有ロックの実装がリライトされました。

* Apache Jackrabbit プロジェクトのコードを使用して WebDAV の If ヘッダーが実装されました。

* WebDAV Servlet に PropertyStore インターフェースを追加し、デッドプロパティのストレージの実装が可能になりました。WebDAV Servlet の propertyStore 初期化パラメーターでストアの設定が可能になりました。デフォルトでは非永続的な単純実装を使用しています。

* 新たに追加された PropertyStore を使用して WebDAV の PROPPATCH メソッドが実装され、さらに PROPFIND もサポートされるようになりました。

* Web リソースキャッシュのデバッグログを追加し、リソースの追加と削除に伴う現在のサイズを追跡できるようになりました。

* RFC 4918の推奨に従い、ロックトークン用のレガシー WebDAV opaquelocktoken: スキームが urn:uuid: に置き換えられ、secret 初期化パラメーターが削除されました。

* アプリケーションが HttpServletResponse.sendError() を 103 ステータスコードで呼び出すことで、早期ヒント情報レスポンスを送信できるようになりました。

機能追加・改良(Other)

* コード署名のプロバイダーが DigiCert ONE から ssl.com の eSigner に切り替えられました。

* Byte Buddy がバージョン 1.15.10 に更新されました。

* CheckStyle がバージョン 10.20.0 に更新されました。

* ドイツ語の翻訳が改善しました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.33_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.33

脆弱性修正

* HTTP/2 リクエストで使用されるリクエストとレスポンスの不適切なリサイクルにより、ユーザ間でリクエストやレスポンスが取り違えられる可能性がありました。本件は 2024/10/1 に Tomcat セキュリティ チームによって特定され、2024/11/18 に公開されています。(CVE-2024-52317)

* Tomcat が認証プロセス中に失敗を示す HTTP ステータスを明示的に設定せずに例外を投げるようなカスタマイズされた Jakarta 認証 (旧 JASPIC) ServerAuthContext コンポーネントを使用するように設定されている場合、認証は失敗していない可能性があり、ユーザは認証プロセスをバイパスできる可能性がありました。このように動作する Jakarta 認証コンポーネントは知られていません。本件は 2024/9/19 に Tomcat セキュリティ チームによって特定され、2024/11/18 に公開されています。(CVE-2024-52316)

不具合修正(Catalina)

* Jakarta Authentication モジュールが registerServerAuthModule() を通じて設定されている場合、ServerAuthModule.initialize() が呼び出されることが保証されるようになりました。

* Jakarta Authentication CallbackHandler は、Subject に GenericPrincipal を一つしか作らないことが保証されるようになりました。

* Jakarta Authentication のプロセスが Exception で失敗した場合、ServerAuthContext では設定されない可能性があるので、HTTP レスポンスのステータスが明示的に 500 に設定されるようになりました。

* Jakarta Authentication のプロバイダの設定を永続化する際、まだ存在していない必要な親ディレクトリが作られるようになりました。

* Jakarta Authentication のプロバイダの設定の永続化に付随する一時ファイルの削除で、エラーを検知するのに使用されるロジックが修正されました。

* Jakarta Authentication のコールバックを処理する際、CallerPrincipalCallback が Principal を提供しない場合、null を持つ PasswordValidationCallback から得た Principal を上書きしないようになりました。

* 一つの設定を秒間に複数回格納する場合に、設定ファイルのバックアップがそれを格納する際に失われる問題が回避されるようになりました。

* WebdavServlet は、誤った Javadoc を持つスーパークラスから getRelativePath() メソッドの複製を作っていました。この問題が修正されました。(69359)

* WebdavServlet と DefaultServlet の間で DELETE の動作に一貫性がありませんでした。この問題が修正されました。(69360)

* リソースの削除が許されていない場合、WebdavServlet は正しく Allow ヘッダを返すようになりました。

* 非ワイルドカードマッピングが WebdavServlet で使用された場合の警告のログ出力が追加されました。

* WebDAV への複数ステータスのレスポンス中のエントリの順序がリソースが処理される順序と一貫性を持つことが保証されるようになりました。(69361)

* WebDAV 経由でのコレクションの削除が失敗した時により良い複数ステータスのレスポンスが提供されるようになりました。削除できない空のディレクトリもそのレスポンスに含まれるようになりました。(69362)

* WebDAV サーブレットで getPathPrefix() が一貫性を持って使用されるようになり、WebDAV サーブレットが web アプリケーション内のサブパスにマウントされた場合に正しいパスが使用されることが保証されるようになりました。(69363)

不具合修正(Coyote)

* HTTP レスポンスの Date ヘッダを生成するのに使用される FastHttpDateFormat#getCurrentDate() が、与えられた入力に対して正しい文字列を生成するようになりました。この修正の前は、場合によって出力が一秒ずれることがありました。(69316)

* HTTP/1.1 リクエストについて、先行して大量の空行がある場合に開始時刻が正確に記録されない可能性がありました。この問題が修正されました。

* Apache Tomcat Native 使用時、APR が完了した後 SSLContext オブジェクトが GC を通じて破壊されることによって引き起こされるクラッシュが回避されるようになりました。

* リクエストのトレーラフィールドの HTTP/2 の処理が改善されました。トレーラフィールドは後続のストリームのヘッダの前に受信する必要がなくなり、また、Connector がトレーラフィールドが受信される前に一時停止した場合に進行中のストリームのトレーラフィールドを読み込んでおく必要もなくなりました。

* ストリームレベルのエラーが入力 HTTP/2 フレームの処理中に検知された場合は、HTTP/2 ストリームについては、リクエストとレスポンスのリサイクルがあまり早く行われないことが保証されるようになりました。これまでは、誤った処理時刻がアクセスログに現れることがありました。

不具合修正(Jasper)

* 生成される JSP から不要なコードが削除されるようになりました。(69333)

* not empty を使用しているオペランドや式を3個以上持つ AND や OR 演算を含む式の処理の性能が改善されました。(69338)

* ラムダ引数を追跡するのに使用されるデータ構造に対して遅延初期化を使うことで ELContext のメモリ消費量が削減されるようになりました。(69348)

不具合修正(Web applications)

* OpenSSL が使用されている場合、manager webapp は再び証明書にアクセスできるようになりました。

機能追加・改良(Coyote)

* HTTP/2 プロトコルが内部で入れ子になっている HTTP/1.1 コネクタから継承する属性の一覧に server と serverRemoveAppProvidedValues が追加されました。

機能追加・改良(Other)

* Byte Buddy が 1.15.3 に更新されました。

* CheckStyle が 10.18.2 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.31_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.31

不具合修正(Coyote)

* Bug ID 69320 の問題が修正されました。この問題は、69302 での修正におけるリグレッションであり、HTTP/2 の処理が、クライアントのどれか一度が HTTP/2 のリセットフレームを送信した場合に全てのクライアントに対して、正しくなくなるというものでした。(69320)

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.30_(schultz)

不具合修正(Catalina)

* ApplicationHttpRequest.parseParameters() の性能が改善されました。

不具合修正(Coyote)

* チャンクリクエストのボディの非ブロッキング読み出しの修正でのリグレッションが修正されました。このリグレッションでは、読み出すべきデータがない場合に InputStream.available() がゼロでない値を返していました。場合によっては、これは、ブロッキング読み出しの際に、既に受信したデータを返すよりも多くのデータを待ってブロックを引き起こす可能性がありました。

* OpenSSLImplementation を使用している場合、クライアントからの TLS close_notify メッセージを受信した後に、TLS close_notify メッセージを送信することが保証されるようになりました。

* レスポンスヘッダをアクセスログに書き込む際にトレイラヘッダが非トレイラヘッダを置き換えていた問題が修正されました。(69301)

* HTTP/2 クライアントがリクエストボディが完全に書き込まれる前にストリームをリセットした場合、どの Read Listener も ReadListener.onError() への呼び出し経由で通知されることが保証されるようになりました。(69302)

不具合修正(Jasper)

* TldScanner がデバッグレベルではなくトレースレベルのロギング詳細スキャン結果に切り戻されました。

不具合修正(WebSocket)

* メッセージの書き込みのブロッキングがタイムアウトを超えた場合、例外を投げる前に再度書き込みを試みることがなくなりました。

* メッセージの書き込み中に EncodeException を投げられた場合に、自動的に接続をクローズすべきではありませんでした。アプリケーションが例外を処理した上で、接続をクローズするかどうかを決定すべきでした。この問題が修正されました。

不具合修正(Web applications)

* ロギングの設定についてのドキュメントが現在のデフォルトに沿うように修正されました。

不具合修正(jdbc-pool)

* 69206 の修正でのリグレッションが修正されました。このリグレッションでは、ステートメントを実行する例外が、アプリケーションが見る元の SQLException ではなく、java.lang.reflect.UndeclaredThrowableException でラップされていました。(69255)

* 69206 の修正でのもう一つのリグレッションが修正されました。このリグレッションでは、以前にヌルの ResultSet を返したメソッドは、ヌルのデリゲートを持つプロキシを返していました。(69279)

不具合修正(Other)

* デフォルトのログハンドラのレベルが ALL に変更され、ロガーがトレース(FINEST) レベルのロギングを使用していた場合にデフォルトでメッセージを失わないようになりました。

機能追加・改良(Coyote)

* 新しい属性 cookiesWithoutEquals が Rfc6265CookieProcessor に追加されました。デフォルトの動作に変更はありません。

機能追加・改良(Other)

* JAR スキャニングから tomcat-coyote-ffm.jar がデフォルトで除外されました。

* Hamcrest が 3.0 に更新されました。

* EasyMock が 5.4.0 に更新されました。

* Byte Buddy が 1.15.0 に更新されました。

* CheckStyle が 10.18.0 に更新されました。

* Apache Commons BCEL の内部フォークが 6.10.0 に更新されました。

* スペイン語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.29_(schultz)

本リリースノートには Tomcat バージョン 10.1.28 および 10.1.27 のリリース情報が記載されています。10.1.27 は単独ではリリースされていません。

10.1.28

不具合修正(Coyote)

* coyote のリクエストとレスポンスのリサイクル処理を HTTP/2 の処理に追加するリファクタリングでのリグレッションが修正されました。

10.1.27

不具合修正(Catalina)

* POST を使用しているが、content-type ヘッダが入っていない CORS リクエストを拒絶しないようになりました。Tomcat は、このようなリクエストを正しく、単なる CORS リクエストとして処理するようになりました。(69214)

* SpnegoAuthenticator がリファクタリングされ、Subject.callAs() が利用可能な場合は、Subject.doAs() ではなく Subject.callAs() が使用されるようになりました。

不具合修正(Coyote)

* HTTP/2 ストリームの入力バッファは、読み込むべきリクエストボディがある場合にだけ作成されるようになりました。

不具合修正(jdbc-pool)

* Statement のメソッド executeQuery(), getResultSet(), getGeneratedKeys() から返されたステートメントは呼び出し元に返される前に正しくラップされるようになりました。(69206)

不具合修正(Other)

* test-only ビルドターゲットの追加で必要な osgi 情報が欠けているというパッケージ処理のリグレッションが修正されました。

機能追加・改良(Catalina)

* RFC 8297 (Early Hints) のサポートが追加されました。アプリケーションは、HttpServletResponse を org.apache.catalina.connector.Reponse にキャストし、次に void sendEarlyHints() メソッドを呼び出すことで、この機能が使用できるようになります。このメソッドは、Servlet 6.2 以降で Servlet API に追加されます(キャストする必要がなくなります)。

機能追加・改良(Coyote)

* HttpParser の作成が Processor レベルから Protocol レベルにリファクタリングされました。これは、パーサの設定はプロトコルに依存しているか、そうでない場合はステートレスであるためです。

* HTTP/2 について、HTTP/1.1 と同様に、コンテナの内部リクエストと内部レスポンスを処理するオブジェクトがデフォルトでリサイクルされるようになりました。この動作は、HTTP/2 アップグレードプロトコルの新しい discardRequestsAndResponses 属性により調整可能です。

機能追加・改良(Other)

* Tomcat Native が 2.0.8 に更新されました。

* Byte Buddy が 1.14.18 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.28_(schultz)

不具合修正(Catalina)

* JAASRealm は設定された configFile をロードする設定ソースを使用することができるようになりました。これはテストで使いやすくするためです。

* JAASCallbackHandler に欠けていたアルゴリズムのコールバックが追加されました。

* APR および OpenSSL のステータスクラスに OpenSSL のバージョン番号が追加されました。

* Authenticator の属性 allowCorsPreflight のフィルター値が拡大され、CORS フィルターが /* にマップされた場合にだけ適用されるのではなく、CORS フィルターの設定された URL パターンに一致する全てのリクエストに適用されるようになりました。(69131)

* OpenSSLListener は、OpenSSL が利用可能であればコネクタに OpenSSL を使用させるように修正されました。

不具合修正(Coyote)

* FFM コード中で OpenSSL の conf コマンドを処理する前に OpenSSL のエラーをクリアしつつログ出力するようになりました。

* AsyncListener.onError() が例外を投げるターゲットにディスパッチする場合に、onComplete() イベントがトリガされることが保証されるようになりました。(69121)

* トレーラヘッダフィールドのリファクタリングに従い、maxTrailerSize の値として -1 が許されなくなりました。合わせてドキュメントも調整されました。

* Mac OS 上で FFM 用の OpenSSL を検索する際に java.library.path から検索されるように修正されました。

不具合修正(Jasper)

* jakarta.el.ImportHandler の最適化が更新され、Java 23 で java.lang.package に追加された新しいクラスを認識するようになりました。

* ExpressionFactory.coerceToType() を使ってオブジェクトが String に強制されるとき、toString() 中の例外が依然として ELException の中で発生することが保証されるようになりました。

* JAR ファイルにパッケージされたタグファイルで include ディレクティブを使用する際、コンテキスト相対の include が正しく処理されることが保証されるようになりました。(69135)

* JAR ファイルにパッケージされたタグファイルで include ディレクティブを使用する際、ファイル相対の include が正しく処理されることが保証されるようになりました。(69135)

* JAR ファイルにパッケージされたタグファイルで include ディレクティブを使用する際、ファイル相対の include は、/META_INF/tags ディレクトリの外側のファイルや JAR ファイルの外側のファイルにアクセスすることが許されないことが保証されるようになりました。(69135)

不具合修正(Web applications)

* 自動ポートを使用する際のコネクタのサーブレットの状態の詳細ビューが修正されました。

機能追加・改良(Coyote)

* FFM を使用する OpenSSL のサポートが、tomcat-coyote-ffm.jar という名前の独立した JAR に移動されました。この JAR はそのマニフェストで Java 22 を広告しています。

* LibreSSL サポートに FFM 互換メソッドが追加されました。現時点ではリネゴシエーションはサポートされていません。

* FFM を使用して OpenSSL ライブラリのロード処理を設定するために、org.apache.tomcat.util.openssl.LIBRARY_NAME (ロードするライブラリ名を指定) および org.apache.tomcat.util.openssl.USE_SYSTEM_LOAD_LIBRARY (FFM ライブラリがロードするコードではなく System.loadLibrary を使用する場合に true を設定) が追加されました。

* BoringSSL サポートに FFM 互換メソッドが追加されました。現時点ではリネゴシエーションはサポートされていません。

機能追加・改良(Jasper)

* JSP コンパイルの際、コンパイラのソースおよびコンパイラのターゲットとして Java 24 (24 という値で) を指定できるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンを使用している場合は、警告がログ出力され、デフォルト値が使用されます。

機能追加・改良(Other)

* テスト専用のビルドターゲットが追加され、テストスイートのみを実行させることができるようになりました。これは Java のバージョンを Tomcat を実行することができる最小バージョンにダウンすることを可能にします。

* UnboundID がバージョン 7.0.1 に更新されました。

* SpotBugs がバージョン 4.8.6 に更新されました。

* ユニットテストで使用される EasyMock のバージョンで必要とされなくなったため、cglib の依存性が削除されました。

* EasyMock がバージョン 5.3.0 に更新されました。これにより、Byte-Buddy 1.14.17 についてのテストの依存性が追加されました。

* チェコ語の翻訳が改善されました。

* フランス語の翻訳が改善されました。

* 日本語の翻訳が改善されました。

* 中国語の翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.26_(schultz)

このドキュメントは 2024 年 6 月 19 日にリリースされた Tomcat 10.1.25 のリリースノートの日本語訳です。
ダウンロードは Tomcat ダウンロードより行えます。
以下はリリースの詳細と、最新情報およびドキュメントを補足するその他情報について記載しています。

脆弱性修正(Catalina)

* HTTP/2 ストリームの処理の際、Tomcat は過剰な HTTP ヘッダを場合によっては正しく取り扱っていませんでした。このために、アクティブな HTTP/2 ストリーム数のカウントが正しくなく、さらにそのことにより、誤った無限のタイムアウトが使用されなくなり、その結果、クローズされるべきコネクションがオープンされたままになる可能性がありました。本件は 2024/5/4 に Tomcat Security Team に報告され、2024/7/3 に公開されています。(CVE-2024-34750)

* Tomcat は、どのプラットフォームにおいても特定の設定の場合に、攻撃者がTLS ハンドシェーク処理を悪用することで OutOfMemoryError を発生させることができました。この問題が修正されました。本件は 2024/6/4 にTomcat Security Team に報告され、2024/9/23 に公開されています。(CVE-2024-38286)

不具合修正(Catalina)

* Base64 処理の際の SPNEGO オーセンテケータのリグレッションが修正されました。(69066)

* 68721 に対する修正でのリグレッションが修正されました。このリグレッションにより、LinkageError のいくつかのインスタンスが ClassNotFoundException と報告されていました。

* コンテキストがブルームフィルターを使用するよう設定されていた場合、JAR ファイルでデプロイされた静的リソースはアクセス可能なままとなることが保証されるようになりました。

不具合修正(Coyote)

* OpenSSL FFM の 128 バイトバッファの ERR_error_string の使用方法が修正され、代わりに ERR_error_string_n が使用されるようになりました。

* Windows の CA 証明書がヌルパスに設定されている場合のクラッシュが修正されました。

* HTTP/2 使用時に非同期、ノンブロッキングの読み出しに対して読み込みタイムアウトが発動することが保証されるようになりました。(69068)

* 接続毎のアクティブな HTTP/2 ストリーム数のカウントがより確実になりました。

* Connector が全てのローカルアドレスをリッスンしている場合にアクセプタをアンロックするのに使用される IP アドレスを特定するアルゴリズムが改良されました。ポイントツーポイント接続ように設定されている、あるいは現在アップしていないインターフェースはスキップされるようになりました。

不具合修正(Jasper)

* JSP 向けに生成された Servlet コードの初期ロードに小さな最適化が追加されました。(68546)

機能追加・改良(Catalina)

* WebDAV を使用する際のシャロ―コピーがサポートされました。

* WebdavFixFilter は必要とされなくなったため、非推奨となりました。

* 確立された GSS コンテキストから拡張あるいは追加された情報を取得する RealmBase.getPrincipal(GSSName, GSSCredential, GSSContext) が追加されました。

* AprLifecycleListener がより堅牢になるように参照カウントが導入されました。これは、複数のサーバが AprLifecycleListener を必要とする場合の独立したライフサイクルを持つ複数のサーバインスタンスからなる、より複雑な埋め込み設定を特にターゲットとしています。

機能追加・改良(Coyote)

* 一貫性を保つため、Connector 要素に、Executor 要素と同様のタスクキューサイズ設定が追加されました。(69133)

* TLS 1.3 のクライアント開始の鍵の再生成がサポートされました。

機能追加・改良(Web applications)

* Manager web アプリケーションのメインページにサブタイトルを設定する機能が追加されました。これは、ユーザが多数のインスタンスを区別しやすくすることを意図しています。

機能追加・改良(Other)

* Derby が 10.16.1.1 に戻されました。それは、このバージョンが Java 17 で動作する Derby の最新バージョンであるためです。

* Commons Daemon が 1.4.0 に更新されました。

* Objenesis が 3.4 に更新されました。

* Checkstyle が 10.17.0 に更新されました。

* SpotBugs が 4.8.5 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-10.1-doc/changelog.html#Tomcat_10.1.25_(schultz)
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.25