脆弱性修正(Webapps)

* ドキュメント Web アプリケーションが更新され、EncryptInterceptor は、信頼できないネットワーク上で Tomcat のクラスタリングを実行するための充分な保護は提供していないことが記載されました。これは、充分な保護を提供できると記載していた問題 CVE-2022-29885 に対する修正です。(CVE-2022-29885)

不具合修正(Catalina)

* JNDI BeanFactory の forceString オプションが無効化され、String を受け付ける同名の別のセッターの自動的な検索に置き換えられました。これはセキュリティ強化策です。(65736)

* クライアント証明書認証が利用可能かどうかの検査中に、コネクタで boundOnInit が使われた場合の SSLAuthenticator の NPE が回避されました。(65991)

* 証明書の DN を取り出すために getSubjectX500Principal().getName(…) ではなく getSubjectX500Principal().toString() が使われるようになりました。これは、以前使われていて、現在は非推奨となった getSubjectDN().getName() の出力に合わせるためです。(66009)

不具合修正(Coyote)

* Linux カーネルの accept が重複したエンドポイントを返すバグの根本原因が、その修正を含むカーネルのバージョンと共に特定されました。このバグが発生した場合に表示されるエラーメッセージがこの新たな情報を反映するよう更新され、ユーザにカーネル 5.10 もしくはそれ以降を使用している OS バージョンにアップデートするよう勧告するようになりました。

* 65726 についての修正が改善され、より広い範囲のユースケースのリクエストボディについて HTTP アップグレードがサポートされました。(66023)

* StandardThreadExecutor の prestartminSpareThreads 属性が削除されました。これは、全てのコアスレッドがデフォルトで常に起動されるようになったので、この属性の意味がなくなったからです。

不具合修正(Webapps)

* ドキュメント Web アプリケーションで、プロダクション環境で Jasper の trimSpaces オプションの使用を推奨することを明確にしました。(66008)

機能追加・改良(Catalina)

* CsrfPreventionFilter がリファクタリングされ、サブクラスで、ノンスの生成や格納の変更が行いやすくなりました。(65853)

* ja ロケールについての Shift_JIS のマッピングを ServletResponse.setLocale() で使用されるデフォルトのマッピングに追加する 9.0.59 での変更が取り消されました。UTF-8 を使用しているアプリケーションにリグレッションを引き起こしたためです。

* Kubernetes のサービスバインディングから値を得るプロパティソースが提供されました。

機能追加・改良(Coyote)

* 新しい属性 maxHttpRequestHeaderSize と maxHttpResponseHeaderSize が追加されました。これらは、HTTP ヘッダの最大サイズを別々に指定します。これらが指定されていない場合は、maxHttpHeaderSize コネクタ属性の値が使われます。(#501)

* 内部のインメモリキーストアで設定を行う際の PKCS#1 フォーマットの秘密鍵の暗号化のサポートが追加されました。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* ドイツ語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* Commons Daemon が 1.3.1 に更新されました。66055 で説明されているように Windows のサービスをカスタムスクリプトで設定する際の、1.3.0 での既知のリグレッションがこれにより修正されます。

* JSign が 4.1 に更新されました。

* OpenSSL 1.1.1o でビルドされた Windows バイナリを使用するために、Tomcat Native Library のパッケージ化バージョンが 1.2.33 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.79_(schultz)