脆弱性修正

* マルチパートアップロードの処理中にエラー (制限の超過を含む) が発生した場合、ローカルストレージに書き込まれたアップロードされた各パートの一時コピーは直ちに削除されず、ガベージコレクションプロセスによる削除に委ねられていました。JVM の設定、アプリケーションのメモリ使用量、およびアプリケーションの負荷によっては、ガベージコレクションがこれらを削除するよりも速く一時コピーのための領域が埋まってしまい、サービス拒否 (DoS) につながる可能性がありました。(CVE-2025-61795)

不具合修正(Catalina)

* HTTP メソッドは大文字小文字を区別する仕様であるため、メソッド比較時に常に大文字小文字を区別して比較するようになりました。

* クライアントがセッションに参加した後、HttpSession.isNew() が false を返すようになりました。(69814)

* ParameterMap のパフォーマンスがさらに改善されました。

* トレーラーヘッダーの許可リストにおける大文字小文字の区別に関する問題が修正されました。

* マルチパートアップロードの失敗時に、一時ファイルをガベージコレクション任せにせず、積極的にクリーンアップするようになりました。

不具合修正(Coyote)

* HTTP リクエストヘッダー名の大文字小文字を強制的に小文字化せず、元の表記を保持して格納するようになりました。

不具合修正(Cluster)

* チャネル設定 (送信者、受信者、メンバーシップ サービス) が、チャネルが完全に停止していない状態では変更できないようになりました。

不具合修正(Web applications)

* ドキュメントが更新され、Connector 要素の maxPostSize 属性の目的が明確になりました。

* Manager Web アプリで証明書情報を表示する際に発生していた NullPointerException を回避するように修正されました。

機能追加・改良(Catalina)

* 強いETag (有効な場合) の計算に使用するハッシュ関数が、SHA-1 から SHA-256 に変更されました。これは、RFC 9110 で推奨されている「強い ETag の生成には衝突耐性のあるハッシュ関数を使用すべき」という指針に沿った対応です。

* アクセスログのタイムスタンプが、Instant リクエスト処理の開始時点を基準にするようリファクタリングされました。

機能追加・改良(Coyote)

* TLS 1.3 においてポスト量子暗号に対応する証明書選択ロジックが追加されました。MLDSA タイプで定義された証明書は、TLS クライアントの Hello メッセージに応じて選択されるようになりました。

* SSLHostConfig に groups 属性が追加され、SSL エンジンで有効化できるグループを制限できるようになりました。

* HTTP メソッドをバイト形式から文字列形式に変換する処理が最適化されました。

機能追加・改良(Other)

* Byte Buddy が 1.17.7 に更新されました。

* Checkstyle が 11.1.0 に更新されました。

* SpotBugs が 4.9.6 に更新されました。

* Jsign が 7.2 に更新されました。

* ロシア語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* JULI ロガーにおける軽微なリファクタリングが行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-11.0-doc/changelog.html#Tomcat_11.0.12_(markt)

脆弱性修正

* Tomcat はログメッセージ内の ANSI エスケープシーケンスをエスケープしていませんでした。Tomcat が Windows 上のコンソールで実行されており、そのコンソールが ANSI エスケープシーケンスをサポートしている場合、攻撃者は特別に細工された URL を使用して ANSI エスケープシーケンスを注入し、コンソールやクリップボードを操作して、管理者に攻撃者が制御するコマンドを実行させようとすることが可能でした。既知の攻撃経路は確認されていませんが、他のオペレーティングシステムでもこの攻撃が成立する可能性があります。(CVE-2025-55754)

* バグ 60013 の修正により、書き換えられた URL がデコードされる前に正規化されるというリグレッションが発生していました。これにより、クエリパラメータを URL に書き換えるリライトルールにおいて、攻撃者がリクエスト URI を操作し、/WEB-INF/ や /META-INF/ の保護を含むセキュリティ制約を回避できる可能性が生じました。さらに、PUT リクエストが有効になっている場合、悪意のあるファイルがアップロードされ、リモートコード実行につながる可能性があります。PUT リクエストは通常、信頼されたユーザーに限定されており、URI を操作するリライトと併用して有効化される可能性は低いと考えられます。(CVE-2025-55752)

不具合修正(Catalina)

* PersistentValve 使用時にセッション FileStore 実装で発生していた同時アクセスの問題が修正され、セッションが失われる不具合が解消されました。(69781)

* RewriteValve における QSA および QSD フラグの処理が修正されました。

不具合修正(Coyote)

* HPACK の整数デコード時に発生する可能性があったオーバーフロー問題に対する追加修正が行われました。(69762)

* PEMFile が処理に失敗した場合でも、適切なログを出力した上で OpenSSL に鍵が渡されるようになりました。

* PEMFile に新しい ML-DSA 鍵アルゴリズムが追加され、鍵の読み込みに失敗した際のレポートが改善されました。

* 待機中のスレッドが意図せず起こされることによって発生する可能性があったネットワーク操作の早期タイムアウトが修正されました。

不具合修正(Cluster)

* NonBlockingCoordinator におけるリーダー選出時の意図せずスレッドが再開される問題が修正されました。

* RpcChannel によるメッセージ送信時の意図せずスレッドが再開される問題が修正されました。

機能追加・改良(Catalina)

* 不要なパッケージが catalina-deployer.jar から削除されました。

* WebResource のロック処理がリファクタリングされ、新しい KeyedReentrantReadWriteLock が使用されるようになりました。

機能追加・改良(Other)

* ログ出力の見直しが行われ、例外が発生した際のエラーや警告のログにおいて、従来の例外メッセージのみではなく、フルスタックトレースと例外メッセージがデフォルトで含まれるようになりました。

* ログフォーマッターにエスケープ処理が追加され、JSON フォーマッターとの整合性が取られるようになりました。

* Checkstyle が 11.0.0 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-11.0-doc/changelog.html#Tomcat_11.0.11_(markt)