不具合修正(Catalina)

* セッション単位の Semaphore が PersistentValve に追加され、一個の Tomcat インスタンス内では、セッションにつき並行リクエストが 1 個を超えないことが保証されるようになりました。また、デバッグログ出力が拡張され、リクエストが Valve を迂回したかどうか、および、リクエストがセッション単位の Semaphore を得るのに失敗した場合の理由が含まれるようになりました。(66513)

* デフォルトのサーブレットが、XML 出力を使用する場合のディレクトリ一覧のファイル名を正しくエスケープすることが保証されるようになりました。(66609)

* WebDAV でコレクションをロックしようとしたときに、子のコレクションが期限切れのロックを保持していると誤ってロックに失敗していました。この問題が修正されました。(66621)

* HttpHeaderSecurityFilter の xssProtectionEnabled の設定が非推奨となり、デフォルト値が false に変更されました。これは、関連する HTTP ヘッダのサポートが全ての主要なブラウザから削除されたためです。(66622)

不具合修正(Coyote)

* SwallowedDataFramePayload の呼び出しで dataLength が ZERO の場合は WINDOW_UPDATE が送られないようになりました。(66602)

不具合修正(WebSocket)

* WebSocket 接続を開始する、HTTP アップグレードリクエストの Sec-Websocket-Key ヘッダの値の検証が拡大されました。その値はデコードはされませんが、正しい長さであるかと BASE64 で使われるアルファベットからなる正当な文字だけが使われているかが検査されます。(66548)

機能追加・改良(Catalina)

* org.apache.catalina.core.StandardVirtualThreadExecutor が追加されました。これは、仮想スレッドベースのエグゼキュータであり、仮想スレッドを使って Connector により受信されたリクエストを一つ以上の Connector で処理するのに使用されます。このエグゼキュータは Java の最小バージョンとして Java 21 が必要です。

* 数値の最終更新フィールドが、デフォルトのサーブレットにより生成される XML 形式のディレクトリ一覧に追加され、XSLT でのソートが可能になりました。(66618)

機能追加・改良(Coyote)

* HTTP/2 の実装が更新され、優先順位付けスキームが、RFC 7540 で定義されたものではなく、RFC9218 で定義されたものが使われるようになりました。

機能追加・改良(Other)

* Commons Daemon が 1.3.4 に更新されました。

* フランス語翻訳が改善されました。

* Checkstyle が 10.12.0 に更新されました。

* パッケージ版 Apache Tomcat Native Library が 1.2.37 に更新され、OpenSSL 1.1.1u でビルドされた Windows バイナリに合うようになりました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.90_(schultz)