脆弱性修正

* 69333 の修正により、プールされた JSP タグが使用後に解放されなくなり、一部のタグの出力が期待どおりにエスケープされなくなる可能性がありました。このエスケープされていない出力により、XSS が発生する可能性がありました。本件は 2024/11/18 に公開されています。(CVE-2024-52318)

不具合修正(Catalina)

* 部分的にマッピングされたリクエストで CrawlerSessionManagerValve 内の NPE (NullPointerException) が回避されるようになりました。

* フォルダーのロック時に、応答に WebDAV の Lock-Token ヘッダーが追加されるようになりました。

* 無効な WebDAV ロックリクエストは 400 エラーで拒否されるようになりました。

* コレクションをアンロックしようとしたときの WebDAV のリグレッションが修正されました。

* WebDAV コピー操作の宛先がロックされていないことを確認するようになりました。

* リクエスト本文を含む WebDAV MKCOL 操作はオプションでありサポートされていないため、415 応答を送信するようになりました。

* WebDAV XML 要素の名前空間で DAV: を強制するようになりました。

* 親コレクションがロックされている場合、子リソースに対する新しい WebDAV ロックを許可しないようになりました。(RFC 4918 セクション6.1)

* WebDAV Delete は正常に削除されたリソースの既存のロックをすべて削除する必要がありました。この問題が修正されました。

* Web アプリケーションのクラスローダーリソースの検索時に、キャッシュが見つからないという結果が表示されていました。これにより、場合によっては同じクラスを繰り返し検索する java.sql.DriverManager などのコンポーネントによって発生するパフォーマンスの問題が解決されました。大規模な Web アプリケーションでは、これがパフォーマンスの問題を引き起こす可能性がありました。キャッシュのサイズは、StandardContext の新しい notFoundClassResourceCacheSize によって制御できるようになりました。

* サブコンポーネントが初期化後に FAILED 状態になる可能性があるため、INITIALIZED 状態後の停止は noop であるように修正されました。

* 同じリソースに対して PUT および DELETE 要求が同時に発生する場合の Web リソースキャッシュサイズの計算が不正確になる問題が修正されました。

* 同じパスに対する同時読み取りと書き込み (GET と PUT / DELETE など) により、一部のフィールドがファイルが存在するかのように設定され、一部のフィールドが存在しないかのように設定され、FileResource が破損しました。その結果、メタデータに一貫性がありませんでした。

* ExpiresFilter が GET および HEAD リクエストでのみキャッシュヘッダーを設定するようになりました。また、アプリケーションが Cache-Control: no-store を設定しているリクエストをスキップするようになりました。(69415)

* ネストされたインクルードが複数レベルある場合の ServletRequest.getAttribute() のパフォーマンスが改善されました。(69419)

* SecurityManager が使用されていない場合でも、多くのライブラリと JRE 機能はこれが null 以外であることに依存しているため、Class.getProtectionDomain().getCodeSource().getLocation() に null ではなく値を指定して復元するようになりました。(69426)

不具合修正(Coyote)

* SSL 実装から返される長さゼロのバイト配列に対して、null SSL セッション ID を返すようになりました。

* BoringSSL はサポートされていないため、OpenSSLConf をスキップするようになりました。

* AbstractHttp11Protocol に HttpParser が存在しない場合は、Http11Processor に HttpParser を作成して、通常の HTTP/1.1 のライフサイクルの堅牢性が向上しました。この新しい動作は、HTTP/2 のパフォーマンスを向上させるために、以前のリファクタリングで導入されました。

* OpenSSLContext は、init メソッドで何か問題が発生したことが確認できた場合、KeyManagementException をスローするようになりました。これは javax.net.ssl.SSLContext.init で文書化されている動作です。これにより、エラー処理の一貫性が向上します。

不具合修正(Jasper)

* タグプーリングを使用しているときにタグ解放が呼び出され、使用していないときにスキップされるというリグレッションが修正されました。このリグレッションは 69333 によって導入されました。(69399)

* 式言語でのメソッド検索のパフォーマンスが改善されました。必要なメソッドに引数がない場合は、キャストや強制を考慮する必要がなく、メソッド検索プロセスが簡素化されました。(69381)

* 生成されたコードで比較的コストのかかるメソッド呼び出しの結果を繰り返すのではなく再利用することで、JSP インクルードアクションのパフォーマンスが改善されました。(69382)

* PageContextImpl での不要なオブジェクト割り当てを回避するようになりました。(69398)

* StringInterpreterEnum を使用する場合、無効な Enum に遭遇しても IllegalArgumentException をスローしないようになりました。代わりに、実行時に値を解決するようになりました。(69406)

* パラメータを受け入れないメソッドのメソッドパラメータの EL 評価が最適化されました。(69429)

機能追加・改良(Catalina)

* 新しい Servlet API メソッド HttpServletResponse.sendEarlyHints() のサポートが追加されました。

* クラスが見つからない場合 (ClassNotFoundException 発生時) に、Digester や Web アプリケーションクラスローダーでクラスパスを報告するデバッグログが追加されました。(55470)

* DefaultServlet のリスト表示で、テーブルヘッダーとボディを適切に分離するようになりました。(69374)

* DefaultServlet の HTML リスト表示の「ファイル最終更新」のレンダリングが改善されました。(69373)

* DefaultServlet のHTML出力が改善されました。

* FilterBase を基本クラスとして使用するように RateLimitFilter がリファクタリングされました。これを行う主な利点は、init-param 値を処理するコードが少なくなることです。

* DefaultServlet の HTML リスト表示で不正なラベルの使用が回避されました。(69370)

* RFC 4918 セクション 7.3 および付録Dに従い、WebDAV ロックの null サポートが削除されました。代わりに、存在しないリソースに対するロックは空のファイルを作成し、通常のロックでロックするようになりました。

* RFC 4918 に準拠するよう WebDAV 共有ロックの実装がリライトされました。

* Apache Jackrabbit プロジェクトのコードを使用して WebDAV の If ヘッダーが実装されました。

* WebDAV Servlet に PropertyStore インターフェースを追加し、デッドプロパティのストレージの実装が可能になりました。WebDAV Servlet の propertyStore 初期化パラメーターでストアの設定が可能になりました。デフォルトでは非永続的な単純実装を使用しています。

* 新たに追加された PropertyStore を使用して WebDAV の PROPPATCH メソッドが実装されました。

* Web リソースキャッシュのデバッグログを追加し、リソースの追加と削除に伴う現在のサイズを追跡できるようになりました。

* RFC 4918の推奨に従い、ロックトークン用のレガシー WebDAV opaquelocktoken: スキームが urn:uuid: に置き換えられ、secret 初期化パラメーターが削除されました。

* アプリケーションが HttpServletResponse.sendError() を 103 ステータスコードで呼び出すことで、早期ヒント情報レスポンスを送信できるようになりました。

機能追加・改良(Coyote)

* tomcat-native の OpenSSLEngine のバッファ再利用を FFM コードと揃えるようになりました。

機能追加・改良(Other)

* コード署名のプロバイダーが DigiCert ONE から ssl.com の eSigner に切り替えられました。

* Byte Buddy がバージョン 1.15.10 に更新されました。

* CheckStyle がバージョン 10.20.0 に更新されました。

* ドイツ語の翻訳が改善しました。

* フランス語翻訳が改善しました。

* 日本語翻訳が改善しました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-11.0-doc/changelog.html#Tomcat_11.0.1_(markt)
https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.1

脆弱性修正

* HTTP/2 リクエストで使用されるリクエストとレスポンスの不適切なリサイクルにより、ユーザ間でリクエストやレスポンスが取り違えられる可能性がありました。本件は 2024/10/1 に Tomcat セキュリティ チームによって特定され、2024/11/18 に公開されています。(CVE-2024-52317)

* Tomcat が認証プロセス中に失敗を示す HTTP ステータスを明示的に設定せずに例外を投げるようなカスタマイズされた Jakarta 認証 (旧 JASPIC) ServerAuthContext コンポーネントを使用するように設定されている場合、認証は失敗していない可能性があり、ユーザは認証プロセスをバイパスできる可能性がありました。このように動作する Jakarta 認証コンポーネントは知られていません。本件は 2024/9/19 に Tomcat セキュリティ チームによって特定され、2024/11/18 に公開されています。(CVE-2024-52316)

不具合修正(Catalina)

* Jakarta Authentication モジュールが registerServerAuthModule() を通じて設定されている場合、ServerAuthModule.initialize() が呼び出されることが保証されるようになりました。

* Jakarta Authentication CallbackHandler は、Subject に GenericPrincipal を一つしか作らないことが保証されるようになりました。

* Jakarta Authentication のプロセスが Exception で失敗した場合、ServerAuthContext では設定されない可能性があるので、HTTP レスポンスのステータスが明示的に 500 に設定されるようになりました。

* Jakarta Authentication のプロバイダの設定を永続化する際、まだ存在していない必要な親ディレクトリが作られるようになりました。

* Jakarta Authentication のプロバイダの設定の永続化に付随する一時ファイルの削除で、エラーを検知するのに使用されるロジックが修正されました。

* Jakarta Authentication のコールバックを処理する際、CallerPrincipalCallback が Principal を提供しない場合、null を持つ PasswordValidationCallback から得た Principal を上書きしないようになりました。

* 一つの設定を秒間に複数回格納する場合に、設定ファイルのバックアップがそれを格納する際に失われる問題が回避されるようになりました。

* WebdavServlet は、誤った Javadoc を持つスーパークラスから getRelativePath() メソッドの複製を作っていました。この問題が修正されました。(69359)

* WebdavServlet と DefaultServlet の間で DELETE の動作に一貫性がありませんでした。この問題が修正されました。(69360)

* リソースの削除が許されていない場合、WebdavServlet は正しく Allow ヘッダを返すようになりました。

* 非ワイルドカードマッピングが WebdavServlet で使用された場合の警告のログ出力が追加されました。

* WebDAV への複数ステータスのレスポンス中のエントリの順序がリソースが処理される順序と一貫性を持つことが保証されるようになりました。(69361)

* WebDAV 経由でのコレクションの削除が失敗した時により良い複数ステータスのレスポンスが提供されるようになりました。削除できない空のディレクトリもそのレスポンスに含まれるようになりました。(69362)

* WebDAV サーブレットで getPathPrefix() が一貫性を持って使用されるようになり、WebDAV サーブレットが web アプリケーション内のサブパスにマウントされた場合に正しいパスが使用されることが保証されるようになりました。(69363)

不具合修正(Coyote)

* HTTP レスポンスの Date ヘッダを生成するのに使用される FastHttpDateFormat#getCurrentDate() が、与えられた入力に対して正しい文字列を生成するようになりました。この修正の前は、場合によって出力が一秒ずれることがありました。(69316)

* HTTP/1.1 リクエストについて、先行して大量の空行がある場合に開始時刻が正確に記録されない可能性がありました。この問題が修正されました。

* Apache Tomcat Native 使用時、APR が完了した後 SSLContext オブジェクトが GC を通じて破壊されることによって引き起こされるクラッシュが回避されるようになりました。

* リクエストのトレーラフィールドの HTTP/2 の処理が改善されました。トレーラフィールドは後続のストリームのヘッダの前に受信する必要がなくなり、また、Connector がトレーラフィールドが受信される前に一時停止した場合に進行中のストリームのトレーラフィールドを読み込んでおく必要もなくなりました。

* ストリームレベルのエラーが入力 HTTP/2 フレームの処理中に検知された場合は、HTTP/2 ストリームについては、リクエストとレスポンスのリサイクルがあまり早く行われないことが保証されるようになりました。これまでは、誤った処理時刻がアクセスログに現れることがありました。

不具合修正(Jasper)

* 生成される JSP から不要なコードが削除されるようになりました。(69333)

* not empty を使用しているオペランドや式を3個以上持つ AND や OR 演算を含む式の処理の性能が改善されました。(69338)

* ラムダ引数を追跡するのに使用されるデータ構造に対して遅延初期化を使うことで ELContext のメモリ消費量が削減されるようになりました。(69348)

不具合修正(Web applications)

* OpenSSL が使用されている場合、manager webapp は再び証明書にアクセスできるようになりました。

機能追加・改良(Coyote)

* HTTP/2 プロトコルが内部で入れ子になっている HTTP/1.1 コネクタから継承する属性の一覧に server と serverRemoveAppProvidedValues が追加されました。

機能追加・改良(Other)

* Eclipse JDT compiler が 4.33 に更新されました。

* Byte Buddy が 1.15.3 に更新されました。

* CheckStyle が 10.18.2 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-11.0-doc/changelog.html#Tomcat_11.0.0_(markt)
https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0