脆弱性修正

* Apache Tomcat のサンプル Web アプリケーションの XSS CVE-2022-34305: サンプル Web アプリケーションの Form 認証サンプルでユーザ提供のデータをフィルタリングなしで表示しており、XSS 脆弱性がありました。(CVE-2022-34305)

不具合修正(Catalina)

* 同名の HTTP ヘッダのインスタンスが複数ある場合の HTTP TRACE リクエストの処理が修正されました。

* HTTP 範囲指定子の単位は大文字小文字の区別がされるという RFC 9110 の記述が実装されました。

* MemoryUserDatabase が XML ファイルに書き出される際にロールとグループの情報が適切にエスケープされるようになりました。

* XML-export ロジックの制御が個々のサポートクラスから MemoryUserDatabase.save() に移動されました。MemoryUser, MemoryRole, MemoryGroup が非推奨となり使用されなくなりました。

不具合修正(Coyote)

* CRCRLF を有効な行末指示子として扱うことを許す HTTP ヘッダパーシングでの例外的な場合の対処が行われました。

* 接続固有のヘッダを含む HTTP/2 リクエストが拒絶されることが保証されるようになりました。

* HTTP/2 リクエストの処理の際、:authority ヘッダの代わりに host ヘッダを使用することが可能になりました。

* HTTP/2 リクエストの処理の際、一個の host ヘッダと一個の :authority ヘッダは一貫性を保つように存在することが可能になりました。

* HTTP/2 リクエストの処理の際、複数の host ヘッダを含むリクエストが拒絶されるようになりました。

不具合修正(Web applications)

* ディレクトリ一覧を設定するオプションを議論する場合に contextXsltFile を含めるよう文書が修正されました。(62245)

* Form 認証例の重要度が低の XSS 脆弱性、CVE-2022-34305 が修正されました。(CVE-2022-34305)

機能追加・改良(Coyote)

* TLS ハンドシェークの失敗専用のロガー (org.apache.tomcat.util.net.NioEndpoint.handshake / org.apache.tomcat.util.net.Nio2Endpoint.handshake) が提供されるようになりました。

* OpenSSL 3.0.x 以降を使ってビルドされた Tomcat Native 1.2.34 以降を使っている場合、TLS が有効化された。

機能追加・改良(Other)

* Tomcat 8.5.x のリリース用ビルドを行うのに必要な Ant の最小バージョンが 1.10.2 になりました。

* ビルドプロセスに自動化される部分が追加され、リリースマネージャが行わなければならない手動ステップ数が削減されました。

* 再現可能なビルドのサポートが実装されました。再現可能なビルドはオペレーティングシステムには依存しませんが、同一の Ant バージョンおよび同一の JDK (ベンダとバージョンが同じ)が付随するバージョン情報として使用されることが必要です。このバージョン情報は JAR ファイルのマニフェストのように多数のビルド出力中に埋め込まれます。

* Tomcat Native Library のパッケージされたバージョンが 1.2.34 に更新され、OpenSSL 3.0.x でビルドする場合のサポートが改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* Tomcat Native Library のパッケージされたバージョンが 1.2.35 に更新され、OpenSSL 1.1.1q でビルドされた Windows バイナリに対応するようになりました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.82
https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.82_(schultz)

8.5.80 はリリースされませんでした。

8.5.81

不具合修正(Catalina)

* リリースされなかった 8.5.80 のリグレッションが修正されました。このリグレッションは、Java 8 JDK で実行すると、いくつかの TLS 構成で正しく動作しなかったり、予期せずに設定を変更してしまうことがありました。

8.5.80

不具合修正(Catalina)

* Java 19 およびそれ以降で実行する場合、アプリケーションが作成した executor スレッドの停止をサポートするメモリリーク保護コードが更新されました。

* 必須の –add-opens option オプションが指定されていない場合のエラーメッセージが改善されました。

* 問題のメモリリークの修正を含む JRE 上で実行される場合は、Context 属性 clearReferencesObjectStreamClassCaches で有効化される、メモリリーク訂正コードが無効化されました。

* RemoteIPValve によりリクエストに対して行われた変更が、リクエストが非同期モードに置かれた後も持続することが保証されるようになりました。(66068)

* ディレクトリが作成される前にロギングディレクトリの古いファイルを整理しないようにすることで、エラーメッセ―が回避されました。(66104)

不具合修正(Coyote)

* 65118 について追加の修正が行われました。接続からクローズされた HTTP/2 ストリームを削除する場合の潜在的な NullPointerException が修正されました。

* TLS をノンブロッキング書き込みと NIO コネクタと共に使う場合、バッファをフラッシュするとすべての出力バッファを空にしようとすることが保証されました。(66076)

* 応答に書き込まれたバイト数の計算が修正されました。(66084)

不具合修正(Jasper)

* Java 19 で導入された新しいクラスに対する ImportHandler 最適化が更新されました。

不具合修正(Web applications)

* ドキュメント Web アプリケーションのビルドについてのページが更新され、必要な Java バージョンやソースリポジトリの変更が反映されました。(66064)

* HTTP ヘッダサイズの最大値を制御する HTTP/1.1 の設定属性の記述がより詳細になりました。

不具合修正(Tribes)

* レプリケーションmessage用のデフォルトのバッファサイズが 43800 バイトから 65536 バイトに拡大されました。これにより、Linux ベースのシステムで稼働させた場合に大きなメッセージでの性能が改善されることが期待されます。

機能追加・改良(Catalina)

* AprLifecycleListener 付で使用する Tomcat Native 向けの推奨バージョンにメジャーバージョンが含まれるようになりました。

機能追加・改良(Coyote)

* 非暗号化 PKCS#1 形式の秘密鍵のサポートを機能させなくする、前のリリースで追加された、暗号化 PKCS#1 形式の秘密鍵のサポートでのリグレッションが訂正されました。

* Tomcat Native Connector を使用する場合の NPN のサポートが削除されました。これは、NPN が標準化されたことがなく、NPN のブラウザサポートが何年も前に削除されているためです。

機能追加・改良(Jasper)

* コンパイラのソースや JSP コンパイルのコンパイラターゲットとして Java 19 を 19 という値を使って指定できるようになりました。この値をサポートしていないバージョンの Eclipse JDT コンパイラで使用した場合には、警告が出力され、デフォルトが使用されます。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.81_(schultz)

不具合修正(Catalina)

* セッション単位の Semaphore が PersistentValve に追加され、一個の Tomcat インスタンス内では、セッションにつき並行リクエストが 1 個を超えないことが保証されるようになりました。また、デバッグログ出力が拡張され、リクエストが Valve を迂回したかどうか、および、リクエストがセッション単位の Semaphore を得るのに失敗した場合の理由が含まれるようになりました。(66513)

* デフォルトのサーブレットが、XML 出力を使用する場合のディレクトリ一覧のファイル名を正しくエスケープすることが保証されるようになりました。(66609)

* WebDAV でコレクションをロックしようとしたときに、子のコレクションが期限切れのロックを保持していると誤ってロックに失敗していました。この問題が修正されました。(66621)

* HttpHeaderSecurityFilter の xssProtectionEnabled の設定が非推奨となり、デフォルト値が false に変更されました。これは、関連する HTTP ヘッダのサポートが全ての主要なブラウザから削除されたためです。(66622)

不具合修正(Coyote)

* SwallowedDataFramePayload の呼び出しで dataLength が ZERO の場合は WINDOW_UPDATE が送られないようになりました。(66602)

不具合修正(WebSocket)

* WebSocket 接続を開始する、HTTP アップグレードリクエストの Sec-Websocket-Key ヘッダの値の検証が拡大されました。その値はデコードはされませんが、正しい長さであるかと BASE64 で使われるアルファベットからなる正当な文字だけが使われているかが検査されます。(66548)

機能追加・改良(Catalina)

* org.apache.catalina.core.StandardVirtualThreadExecutor が追加されました。これは、仮想スレッドベースのエグゼキュータであり、仮想スレッドを使って Connector により受信されたリクエストを一つ以上の Connector で処理するのに使用されます。このエグゼキュータは Java の最小バージョンとして Java 21 が必要です。

* 数値の最終更新フィールドが、デフォルトのサーブレットにより生成される XML 形式のディレクトリ一覧に追加され、XSLT でのソートが可能になりました。(66618)

機能追加・改良(Coyote)

* HTTP/2 の実装が更新され、優先順位付けスキームが、RFC 7540 で定義されたものではなく、RFC9218 で定義されたものが使われるようになりました。

機能追加・改良(Other)

* Commons Daemon が 1.3.4 に更新されました。

* フランス語翻訳が改善されました。

* Checkstyle が 10.12.0 に更新されました。

* パッケージ版 Apache Tomcat Native Library が 1.2.37 に更新され、OpenSSL 1.1.1u でビルドされた Windows バイナリに合うようになりました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.90_(schultz)