不具合修正(Catalina)

* Writer と OutputStream のエラー処理が統一されました。どちらかを使用した場合、discardFacades がデフォルト値の true に設定されていたなら、レスポンスが一度リサイクルされると NullPointerException がトリガされます。

* FORM 認証の成功後にセーブされた POST リクエストをリストアする際に、リクエストのボディのリストアでは URI、クエリ文字列、プロトコルのどれも破壊されないことが保証されるようになりました。(68495)

* ClassFileTransformers を使用し、クラスの変換が同じクラスのロードを引き起こす場合の重複クラス定義の原因である可能性の一つが回避されるようになりました。(68721)

* リライトバルブは、出力が入力と同一である場合にはリライトすべきではありませんでした。この問題が修正されました。

* AsyncConext の使用時に、AsyncContext がリサイクルされた後でその AsyncContext を使用しようとした場合、NullPointerException ではなく IllegalStateException が投げられるようになりました。

不具合修正(Coyote)

* HTTP/2 ストリームの優先順位付けプロセスが改善されました。ストリームが全ての接続ウィンドウを使用していて、なお、書き出すべきコンテンツがある場合、残りのコンテンツに対する書き込みの試みを待つことなく、直ちにバックログに追加されるようになりました。

* org.apache.catalina.security.TLSCertificateReloadListener の動作を妨げる、ユーザ提供 SSLContext インスタンスのサポートにおけるリグレッションが修正されました。

不具合修正(Jasper)

* JSP エンジンがリクエスト/レスポンスを Writer ではなく OutputStream を使用しているサーブレットに転送する場合が対応されました。これは、後続の Writer を得ようとする試みが存在する場合は、コードパス上での IllegalStateException を発生させていました。

* タグライブラリが JAR ファイルにパッケージ化されていて、Web アプリケーションがディレクトリに展開された形ではなく WAR ファイルとしてデプロイされているという場合が正しく処理されるようになりました。

不具合修正(Other)

* digest.sh および digest.bat がファイルや標準入力からパスワードを受け付けるようになりました。(57130)

機能追加・改良(Catalina)

* リライトバルブに新しい valveSkip (あるいは VS) ルールフラグが追加され、Catalina パイプラインの次のバルブをスキップさせることができるようになりました。

* SecurityListener に、実行中の Tomcat インスタンスのそのビルド日からの “年齢” のチェックが追加され、サーバが古い場合は警告がログ出力されるようになりました。

機能追加・改良(Jasper)

* JSP コンパイルの際に、コンパイラのソースおよびターゲットとして Java 22 (値 22) を指定することができるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンと共に使用する場合は、警告がログ出力され、デフォルトが使用されます。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* Checkstyle が 10.14.1 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.100_(schultz)

脆弱性修正

* サービス妨害 CVE-2024-23672: WebSocket クライアントが WebSocket の接続をオープンしたままとすることでリソースの消費を増大させることが可能になっていました。この問題が修正されました。この問題は Tomcat のバージョン 8.5.0 から 8.5.98 に影響します。(CVE-2024-23672)

* サービス妨害 CVE-2024-24549: HTTP/2 リクエスト処理中に、そのリクエストがヘッダについて設定されている制限の一つでも超えた場合、付随する HTTP/2 ストリームが、全てのヘッダが処理されるまでリセットされませんでした。この問題が修正されました。この問題は Tomcat のバージョン 8.5.0 から 8.5.98 に影響します。(CVE-2024-24549)

不具合修正(Catalina)

* ServiceBindingPropertySource が修正され、プロパティ値を含むファイルから、行末の \r\n のシーケンスを削除するよう設定されている場合は、正しく削除されるようになりました。

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。

* ApplicationHttpRequest および ApplicationRequest に対するリクエスト属性のアクセスの性能がさらに改善されました。(68089)

* 非同期処理中のエラーの後で非同期エラー処理がレスポンスを書き出せるようになりました。(68559)

不具合修正(Coyote)

* 非同期のエラー処理がより頑健になりました。一旦接続がクローズとマークされたなら、さらなる非同期処理はそのことを変更することはできないことが保証されます。

* 非同期のエラー処理がより頑健になりました。AsyncListener.onError() の呼び出しが一度コンテナに戻ったなら、コンテナのスレッドだけが AsyncContext にアクセスできることが保証されます。これは、アプリケーションスレッドが AsyncContext にアクセスし続けている場合に、そうなっていないと発生する様々な競合条件を抑止します。

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。特い、ほとんどの HTTP/2 デバッグログ出力がトレースレベルに変更されました。

* SSLHostConfigCertificate インスタンス上に設定されたユーザ提供の SSLContext インスタンスがサポートされました。

* Tomcat Native のシャットダウンプロセスが改善され、Tomcat シャットダウン時に JVM がクラッシュする可能性が小さくなりました。

* 68558 についての部分的修正: リクエスト URI、HTTP ヘッダ名、リクエスト Content-Type 値を String に変換した結果をキャッシュすることで、繰り返し行われる byte[] から String への変換が減り性能が改善されるようになりました。

* ヘッダ処理時のエラーを HTTP/2 クライアントにエラー報告する処理が、ヘッダの末尾ではなく、エラーが検知されたフレームの末尾で問題を報告することで改善されました。

* 一度ストリームがリサイクルされたなら、残っていたそのストリームへの参照が削除されるようになりました。これにより、そのストリームが早期にガベージコレクションの対象となり、スケーラビリティが改善されます。

不具合修正(Jasper)

* JSP インポートマップに最適なサイズとタイプが生成されるようになりました。(68546)

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。

不具合修正(WebSocket)

* 66508 の修正でのリグレッションが修正されました。このリグレッションにより、環境により UpgradeProcessor のリークが発生する可能性がありました。

* デバッグログ出力の使い方が見直され、トレースやデータダンプ操作がデバッグレベルからトレースに引き下げられました。

* サーバサイドが占有的なサスペンド/レジューム機能を使って接続をサスペンドした場合に WebSocket 接続がクローズされた場合、その WebSocket の接続の終了が完了することが保証されるようになりました。

機能追加・改良(Catalina)

* CSRF 抑止フィルターが何点か改善され、その一つに、リソース名とサブツリーURLパターンにノンスを追加することがスキップできるようになりました。

機能追加・改良(Web applications)

* サンプルアプリケーション RequestHeaderExample で JSON フォーマットのレスポンスがサポートされました。

機能追加・改良(Other)

* Checkstyle が 10.13.0 に更新されました。

* JSign が 6.0 に更新されました。

* デバッグレベルメッセージ用の文字列が追加されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.99_(schultz)

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.99

不具合修正(Coyote)

* VirtualThreadExecutor がリファクタリングされ、仮想化スレッドを使うよう設定されていてもプラットフォームのスレッドを使用する NIO2 から使用できるようになりました。

* 67675 の修正によるリグレッションが修正されました。このリグレッションにより、明示的な疑似ランダム関数を指定せず、デフォルトに任せている PKCS#8 フォーマットキーの TLS キーファイルのパーシングが機能していませんでした。これは、典型的には OpenSSL 1.0.2 で生成されたキーに影響します。

* 処理された MBean について同じ名前で複数の操作が可能となり、第二の addSslHostConfig メソッドの導入で引き起こされたリグレッションが修正されました。

* HTTP の Host ヘッダがリクエスト行で使われているホストと整合性が取れているかの検査が緩和され、ホスト名は大文字小文字の区別が不要なので、検査も大文字小文字の区別なしで行われるようになりました。

機能追加・改良(Catalina)

* グローバルの web.xml の MIME タイプのマッピングの拡張が httpd に揃えられ、ggs 用に application/vnd.geogebra.slides、mjs 用に text/javascript、opus 用に audio/ogg が追加されました。(68378)

機能追加・改良(Coyote)

* Cookie に partitioned 属性のサポートが追加されました。(68348)

機能追加・改良(Other)

* Checkstyle が 10.12.7 に更新されました。

* SpotBugs が 4.8.3 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.98_(schultz)

脆弱性修正

* Apache Tomcat 情報漏洩 CVE-2023-28708: RemoteIpFilter を、https に設定された X-Forwarded-Proto ヘッダを含む HTTP でリバースプロキシから受信したリクエストに使用した場合、Tomcat が作成したセッションクッキーに secure 属性が含まれていませんでした。このため、ユーザエージェントが安全ではないチャンネルでセッションクッキーを送信してしまう可能性がありました。この問題が修正されました。(CVE-2023-28708)

不具合修正(Catalina)

* Context にマップ不可能なリクエストからの cookie を Valve からアクセスできるようになりました。

* 正規表現が使用されていないところでは、String.replaceAll() ではなく String.replace() が使われるようになりました。

* RemoteIpFilter がリクエストが安全なチャンネル経由で投稿されたと判断した場合に JSessionId セキュア属性が欠けていた問題が修正されました。(66471)

不具合修正(Coyote)

* HTTP/2 レスポンスがボディを含んではいけない場合、ヘッダフレームにストリームの末尾フラグが設定され、データフレームが何も送られないことが保証されるようになりました。(66442)

* 全接続でフロー制御ウィンドウが使い果たされてしまったときに HTTP/2 上の WINDOW_UPDATE フレームの処理で ClassCastException が発生する可能性がありましたが、その原因が修正されました。(66455)

不具合修正(Jasper)

* 式言語から varargs を受け付けるメソッドを呼び出す際に引数を一個しか渡していない呼び出しが修正されました。(66419)

* JSP 中の static フィールドのインポートがそのページで使用されているどの EL 式からも可視となるように修正されました。(66441)

不具合修正(Web applications)

* ドキュメント Web アプリケーションへのアクセスがデフォルトでは localhost からに限定されるようになりました。(66429)

* Examples Web アプリケーションへのアクセスがデフォルトでは localhost からに限定されるようになりました。(66429)

機能追加・改良(Catalina)

* 外部 Web サーバからのプロキシにリダイレクト可能なエラーレポートバルブが追加されました。

* RemoteIpFilter および RemoteIpValve 向けの内部プロキシを特定するのに使用される正規表現に RFC 6598 で定義される Shared Address Space (100.64.0.0/10) が追加されました。(66470)

機能追加・改良(Coyote)

* Tomcat 起動時に、設定された TLS 証明書のそれぞれについての基本的な情報がログ出力されるようになりました。

* 設定された TLS 証明書のログ出力用に org.apache.tomcat.util.net.NioEndpoint.certificate / org.apache.tomcat.util.net.Nio2Endpoint.certificate / org.apache.tomcat.util.net.AprEndpoint.certificate が追加されました。

機能追加・改良(Other)

* 韓国語翻訳が改善されました。

* OpenSSL 1.1.1t でビルドされた Windows バイナリを使用するために、Tomcat Native Library のパッケージ化バージョンが 1.2.36 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.86

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.86_(schultz)

脆弱性修正

* Apache Tomcat サービス妨害 CVE-2023-24998: Apache Tomcat は、Apache Commons FileUpload のパッケージ化され、名前を変えたコピーを使って、Jakarta Servlet 仕様で定義されているファイルアップロード機能を提供しています。Apache Tomcat はそれゆえ、処理されるリクエストの部分数に制限がなく、Apache Commons FileUpload の脆弱性 CVE-2023-24998 について脆弱です。これにより、攻撃者は悪意のある単独のアップロードあるいは一連のアップロードにより DoS を引き起こす可能性がありました。この問題が修正されました。(CVE-2023-24998)

不具合修正(Catalina)

* Servlet のコンテキストで設定される、クレディンシャルハンドラの属性の動作が改善され、認証中に何が使用されるかが実際に反映されるようになりました。

* RemoteIpValve と RemoteIpFilter の javadoc が更新され、protocolHeader のデフォルト値が正しい値 “X-Forwarded-Proto” になりました。(66359)

* URL コンストラクタの使用を置き換えるリファクタリングでのリグレッションが修正されました。このリグレッションにより、URL パスで使用された場合にエスケープ処理が必要になる文字が一つ以上含まれている名前のリソースの検索が正しくなくなっていました。(66388)

* AccessLogValue のファイルエンコーディングのデフォルト値が UTF-8 に変更され、ドキュメントも更新されました。(66392)

* ExtendedAccessLogValve の x-P(XXX) がドキュメント通りに変更されました。(66393)

不具合修正(Coyote)

* HTTP/2 ストリームがリセットされた時に、現在のアクティブなストリーム数が減らされていませんでした。ある接続で充分な回数リセットが行われると、現在のアクティブなストリーム数の上限に到達してしまい、その接続では新たなストリームを作ることができなくなっていました。この問題が修正されました。

* コードポイントが 255 を超える文字が1文字以上含まれるヘッダ値を持つ応答をコミットすることを試みる場合、HTTP/1.1 の動作を HTTP/2 に揃えて、例外を投げるようになりました。(66196)

* URL コンストラクタの使用を置き換えるリファクタリングでのリグレッションが修正されました。このリグレッションにより、URL パスで使用された場合にエスケープ処理が必要になる文字が一つ以上含まれている名前のリソースの検索が正しくなくなっていました。(66388)

不具合修正(Jasper)

* システムプロパティ org.apache.el.GET_CLASSLOADER_USE_PRIVILEGED のデフォルト値が true に変更されました。ただし、EL ライブラリ Tomcat 上で実行される場合は除きます。その場合は、EL ライブラリは既に特権ブロック内から呼び出されているのでデフォルトは false のままとなり、不要な特権ブロックが回避されるので性能が改善されます。(66370)

不具合修正(Web applications)

* クラスローダの説明でリストされている JAR が更新され、どれがオプションであるかが注記されました。(66348)

* アプリケーション開発者ガイド中の CVS に対する参照が、ソースコード制御システムへのより一般的な参照に置き換えられました。

機能追加・改良(Jasper)

* JSP のコンパイルでコンパイラのソースやコンパイラのターゲットとして Java 21 (値 21) を指定するサポートが追加されました。この値をサポートしていないバージョンの Eclipse JDT コンパイラと共に使用した場合には、警告がログ出力され、デフォルト値が使用されます。

機能追加・改良(Other)

* コードベースのリファクタリングが行われ、URL コンストラクタの使用が置き換えられました。URL コンストラクタが非推奨となるのは Java 20 以降ですが、非推奨となる理由は全てのバージョンに当てはまるので、今、削除しておきます。

* Commons Daemon が 1.3.3 に更新されました。

* 日本語翻訳が改善されました。

* Apache Commons FileUpload の内部フォークが 34eb241 (2023-01-03, 2.0-SNAPSHOT) に更新されました。

* Apache Commons BCEL の内部フォークが 2ee2bff (2023-01-03, 6.7.1-SNAPSHOT) に更新されました。

* Apache Commons Codec の内部フォークが 3eafd6c (2023-01-03, 1.16-SNAPSHOT) に更新されました。

* 日本語翻訳が改善されました。

* ポルトガル語翻訳が改善されました。

* Checkstyle が 10.6.0 に更新されました。

* Unboundid が 6.0.7 に更新されました。

* SpotBugs が 4.7.3 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.85

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.85_(schultz)

脆弱性修正

* Apache Tomcat JsonErrorReportValve インジェクション CVE-2022-45143: JsonErrorReportValve は、タイプ、メッセージ、デスクリプションの値のエスケープ処理を行っていませんでした。場合によっては、これらの値はユーザが提供するデータから組み立てられるので、JSON 出力を無効化したり、何らかの操作を行ったりするような値をユーザが提供することが可能となっていました。この問題が修正されました。(CVE-2022-45143)

不具合修正(Catalina)

* 62897 の修正で入ったリグレッションが修正されました。このリグレッションは、Context の skipMemoryLeakChecksOnJvmShutdown の設定が何であれ無視されてしまい、常にデフォルトが使われてしまうものでした。(66330)

* SystemLogHandler 上の Stack のリファクタリングの際のリグレッションが修正されました。このリグレッションは誤った例外を捕捉していました。(66331)

* ErrorReportValve のリファクタリングの際に微妙な違いをもたらすリグレッションが修正されました。(66338)

* 常に正しい JSON を出力することを保証するために、JsonErrorReportValve 用の出力を構成する際にエスケープされた値が使われるようになりました。

不具合修正(Coyote)

* HTTP クッキーの expires 属性で使われる日付のフォーマットが修正されました。RFC 6265 に適合するためには、日、月、年を区切る際に一個のダッシュではなく一個の空白を使用すべきでした。

不具合修正(Jasper)

* 62080 の問題を扱うために追加されたスレッドコンテキストのクラスローダを得るための特権ブロックの使用がオプションとなり、デフォルトでは無効化されました。これは、org.apache.el.GET_CLASSLOADER_USE_PRIVILEGED システムプロパティで調整されるようになりました。(66294)

* ラムダ式を含む式言語の評価の並列性の問題が修正されました。(66325)

機能追加・改良(Coyote)

* ストリームが書き込みを許さない状態にあるときに、そのストリームへの書き込みを試みたことにより、ストリームがキャンセルされた場合のエラーメッセージに現在のストリームの状態名が含まれるようになりました。

* NIO の書き込みが -1 を返すことはないので、CLOSED_NIO_CHANNEL も -1 を返さないようにリファクタリングを行い、この戻り値の検査が削除されました。

* asyncTimeout を、それを決して使うことのないコンポーネントに公開していた不要なコードが削除されました。

機能追加・改良(Other)

* Commons Daemon のバージョンが 1.3.2 に更新されました。

* 中国語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.84
https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.84_(schultz)

脆弱性修正

* Apache Tomcat リクエストスマグリング CVE-2022-42252: Tomcat は、rejectIllegalHeader を false に設定する(デフォルト設定ではありません)ことで不正な HTTP ヘッダを無視するように設定されていた場合、不正な Content-Length ヘッダを含むリクエストを拒絶しないため、Tomcat が、やはり、不正なヘッダがあるリクエストを拒絶するのに失敗するリバースプロキシの背後に置かれている場合、リクエストスマグリング攻撃が可能となっていました。この問題が修正されました。(CVE-2022-42252)

不具合修正(Catalina)

* Cookie 値をアクセスログ valve にログ出力し、同名の複数の Cookie がある場合、最初の Cookie 値だけでなく全ての Cookie 値がログ出力されるようになりました。(66183)

* JULI の root logger がデフォルトのレベル INFO となることが保証されました。(66184)

* SSI 式のパーシングの際のスタックオーバーフローエラーの処理が改善されました。

* 認証の処理中にセッションの保持と復元が発生した場合に FORM 認証が正しく動作するようになりました。(66120)

* リクエストの持つ Cookie が多すぎる時の 400 応答を送付する際、エラーメッセージもふくめられるようになりました。(66233)

* JAR が重複したフラグメント名を持つことにより、Web アプリケーションのデプロイメントに失敗した場合、重複が含まれている JAR の一覧を示すようにエラーメッセージが改善されました。

* JULI の AsyncFileHandler 用のログ出力スレッドが、ログ出力の失敗に対して保護を行う executor に置き換えられました。

* URL がエンコードされた行末記号を含む場合の想定外の動作を回避するため、RewriteValve が更新され、dotall モードを使ってパターン照合が行われるようになりました。

不具合修正(Coyote)

* Content-Disposition ヘッダ中の不正なファイル名のディレクティブのパーシングがより堅牢になりました。不正なファイル名のディレクティブは 500 応答を発生させるのではなく無視されるようになりました。

* HTTP/2 ストリームのクローズ(通常クライアントのエラーにより引き起こされる)を UserDataHelper 経由でログ出力する動作が、パーシングの問題や制限超えについての HTTP/1.1 の動作に概ね揃えられました。(66194)

* TLS リネゴシエーションと共に使用される Connector の maxSavePostSize を設定する際の特別な値ゼロと -1 のサポートが実装されました。(66236)

* オクテットをパーシングする際の int のオーバーフローが、最大値を 255 に制限することで回避されました。(66240)

* Servlet が、リクエスト本体を読むことなしに 2xx 応答を返すことを期待してリクエストに応答する場合が正しく処理されるようになりました。(#550)

* HTTP/2 プリフェイスとの照合の際の誤ったチェックを修正することで、潜在的な IndexOutOfBoundsException が回避されました。(#551)

* HTTP/2 ストリームの派生を追加する際の誤ったクラスのキャストが修正されました。(66276)

* HTTP/2 と NIO2 を使用している場合のクライアントの切断として発生する想定外のタイムアウトが修正されました。(66281)

* 不正な content-length ヘッダを持つリクエストは常に 400 応答で拒絶すべきであるという RFC 7230 以降の要件が強制的に適用されるようになりました。

不具合修正(Jasper)

* EL 式をパーシングする際のスタックオーバーフローエラーの処理が改善されました。

* EL 式中の整数と浮動小数点のリテラルのパーシングが修正され、より大きな値がそれぞれ、BigInteger と BigDecimal に正しくパースされるようになりました。

* Expression Language 実装の ImportHandler の性能が改善されました。この改善では、役に立つどころか有害になってしまった以前の最適化は削除されています。

* EL のエラーメッセージの処理が改善され、Number のインスタンスが予期しない仕方でフォーマットされることがなくなりました。

* EL 算術演算中に型変換に失敗した場合、IllegalArgumentException ではなく ELException を使うように切り換えられました。これは、EL のエラーなので ELException がより適切です。

* MethodExpression の処理のバグが修正されました。このバグは、static メソッドを直接クラスに対して起動するのではなく、クラスのインスタンスに対して起動したときにエラーを引き起こしていました。

* EL 式の一部として BigInteger のインスタンスに対する剰余演算を行う場合、BigInteger.mod() ではなく BigInteger.remainder() が使われるようになりました。

* Stack ArrayDeque のリファクタリングでのリグレッションが修正されました。(66277)

不具合修正(Cluster)

* 将来、新たな機能が追加された場合に備えて、DeltaRequest に認識できないアクションタイプが渡された場合、IllegalArgumentException を投げるのではなく、警告メッセージがログ出力されるようになりました。

* 認証の処理中にセッションの保持と復元が発生した場合に FORM 認証が正しく動作するようになりました。(66120)

不具合修正(Web applications)

* CsrfPreventionFilter の nonceRequestParameterName 属性の説明が記載されました。

不具合修正(Other)

* Zip アーカイブがファイル変更時刻として UTC を使用することが保証され、これにより、タイムゾーンが異なっても同じビルドになることが保証されました。

機能追加・改良(Catalina)

* HTML ではなく JSON でレスポンスを返す ErrorReportValve を拡張した JsonErrorReportValve が追加されました。

機能追加・改良(Jasper)

* JSP コンパイラがコード生成用の出力ディレクトリを作成することができない場合のエラーメッセージをログ出力するようになりました。(66203)

* JSP のコンパイルでコンパイラのソースあるいはコンパイラのターゲットとして値 20 で Java 20 を指定できるようになりました。この値をサポートしていない Eclipse JDT コンパイラバージョンを使用している場合は、警告がログ出力され、デフォルト値が使用されます。

機能追加・改良(WebSocket)

* 認証を必要とするフォワードプロキシ経由で WebSocket エンドポイントに接続を確立する際の、WebSocket クライアントの HTTP フォワードプロキシとの認証がサポートされました。(62312)

機能追加・改良(Other)

* 中国語翻訳が改善されました。

* チェコ語翻訳が改善されました。

* フランス語翻訳が改善されました。

* ドイツ語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* ロシア語翻訳が改善されました。

* スペイン語翻訳が改善されました。

* ビルドプロセスの自動化が進められ、リリースマネージャが行わなければならない手動操作のステップ数が削減されました。

* Objenesis のバージョンが 3.2 に更新されました。

* UnboundID のバージョンが 6.0.6 に更新されました。

* Checkstyle のバージョンが 10.3.4 に更新されました。

* JaCoCo のバージョンが 0.8.8 に更新されました。

* SpotBugs のバージョンが 4.7.2 に更新されました。

* JSign のバージョンが 4.2 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.83
https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.83_(markt)

脆弱性修正

* Apache Tomcat のサンプル Web アプリケーションの XSS CVE-2022-34305: サンプル Web アプリケーションの Form 認証サンプルでユーザ提供のデータをフィルタリングなしで表示しており、XSS 脆弱性がありました。(CVE-2022-34305)

不具合修正(Catalina)

* 同名の HTTP ヘッダのインスタンスが複数ある場合の HTTP TRACE リクエストの処理が修正されました。

* HTTP 範囲指定子の単位は大文字小文字の区別がされるという RFC 9110 の記述が実装されました。

* MemoryUserDatabase が XML ファイルに書き出される際にロールとグループの情報が適切にエスケープされるようになりました。

* XML-export ロジックの制御が個々のサポートクラスから MemoryUserDatabase.save() に移動されました。MemoryUser, MemoryRole, MemoryGroup が非推奨となり使用されなくなりました。

不具合修正(Coyote)

* CRCRLF を有効な行末指示子として扱うことを許す HTTP ヘッダパーシングでの例外的な場合の対処が行われました。

* 接続固有のヘッダを含む HTTP/2 リクエストが拒絶されることが保証されるようになりました。

* HTTP/2 リクエストの処理の際、:authority ヘッダの代わりに host ヘッダを使用することが可能になりました。

* HTTP/2 リクエストの処理の際、一個の host ヘッダと一個の :authority ヘッダは一貫性を保つように存在することが可能になりました。

* HTTP/2 リクエストの処理の際、複数の host ヘッダを含むリクエストが拒絶されるようになりました。

不具合修正(Web applications)

* ディレクトリ一覧を設定するオプションを議論する場合に contextXsltFile を含めるよう文書が修正されました。(62245)

* Form 認証例の重要度が低の XSS 脆弱性、CVE-2022-34305 が修正されました。(CVE-2022-34305)

機能追加・改良(Coyote)

* TLS ハンドシェークの失敗専用のロガー (org.apache.tomcat.util.net.NioEndpoint.handshake / org.apache.tomcat.util.net.Nio2Endpoint.handshake) が提供されるようになりました。

* OpenSSL 3.0.x 以降を使ってビルドされた Tomcat Native 1.2.34 以降を使っている場合、TLS が有効化された。

機能追加・改良(Other)

* Tomcat 8.5.x のリリース用ビルドを行うのに必要な Ant の最小バージョンが 1.10.2 になりました。

* ビルドプロセスに自動化される部分が追加され、リリースマネージャが行わなければならない手動ステップ数が削減されました。

* 再現可能なビルドのサポートが実装されました。再現可能なビルドはオペレーティングシステムには依存しませんが、同一の Ant バージョンおよび同一の JDK (ベンダとバージョンが同じ)が付随するバージョン情報として使用されることが必要です。このバージョン情報は JAR ファイルのマニフェストのように多数のビルド出力中に埋め込まれます。

* Tomcat Native Library のパッケージされたバージョンが 1.2.34 に更新され、OpenSSL 3.0.x でビルドする場合のサポートが改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* Tomcat Native Library のパッケージされたバージョンが 1.2.35 に更新され、OpenSSL 1.1.1q でビルドされた Windows バイナリに対応するようになりました。

詳細は以下をご覧ください。

https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.82
https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.82_(schultz)

8.5.80 はリリースされませんでした。

8.5.81

不具合修正(Catalina)

* リリースされなかった 8.5.80 のリグレッションが修正されました。このリグレッションは、Java 8 JDK で実行すると、いくつかの TLS 構成で正しく動作しなかったり、予期せずに設定を変更してしまうことがありました。

8.5.80

不具合修正(Catalina)

* Java 19 およびそれ以降で実行する場合、アプリケーションが作成した executor スレッドの停止をサポートするメモリリーク保護コードが更新されました。

* 必須の –add-opens option オプションが指定されていない場合のエラーメッセージが改善されました。

* 問題のメモリリークの修正を含む JRE 上で実行される場合は、Context 属性 clearReferencesObjectStreamClassCaches で有効化される、メモリリーク訂正コードが無効化されました。

* RemoteIPValve によりリクエストに対して行われた変更が、リクエストが非同期モードに置かれた後も持続することが保証されるようになりました。(66068)

* ディレクトリが作成される前にロギングディレクトリの古いファイルを整理しないようにすることで、エラーメッセ―が回避されました。(66104)

不具合修正(Coyote)

* 65118 について追加の修正が行われました。接続からクローズされた HTTP/2 ストリームを削除する場合の潜在的な NullPointerException が修正されました。

* TLS をノンブロッキング書き込みと NIO コネクタと共に使う場合、バッファをフラッシュするとすべての出力バッファを空にしようとすることが保証されました。(66076)

* 応答に書き込まれたバイト数の計算が修正されました。(66084)

不具合修正(Jasper)

* Java 19 で導入された新しいクラスに対する ImportHandler 最適化が更新されました。

不具合修正(Web applications)

* ドキュメント Web アプリケーションのビルドについてのページが更新され、必要な Java バージョンやソースリポジトリの変更が反映されました。(66064)

* HTTP ヘッダサイズの最大値を制御する HTTP/1.1 の設定属性の記述がより詳細になりました。

不具合修正(Tribes)

* レプリケーションmessage用のデフォルトのバッファサイズが 43800 バイトから 65536 バイトに拡大されました。これにより、Linux ベースのシステムで稼働させた場合に大きなメッセージでの性能が改善されることが期待されます。

機能追加・改良(Catalina)

* AprLifecycleListener 付で使用する Tomcat Native 向けの推奨バージョンにメジャーバージョンが含まれるようになりました。

機能追加・改良(Coyote)

* 非暗号化 PKCS#1 形式の秘密鍵のサポートを機能させなくする、前のリリースで追加された、暗号化 PKCS#1 形式の秘密鍵のサポートでのリグレッションが訂正されました。

* Tomcat Native Connector を使用する場合の NPN のサポートが削除されました。これは、NPN が標準化されたことがなく、NPN のブラウザサポートが何年も前に削除されているためです。

機能追加・改良(Jasper)

* コンパイラのソースや JSP コンパイルのコンパイラターゲットとして Java 19 を 19 という値を使って指定できるようになりました。この値をサポートしていないバージョンの Eclipse JDT コンパイラで使用した場合には、警告が出力され、デフォルトが使用されます。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.81_(schultz)

脆弱性修正(Webapps)

* ドキュメント Web アプリケーションが更新され、EncryptInterceptor は、信頼できないネットワーク上で Tomcat のクラスタリングを実行するための充分な保護は提供していないことが記載されました。これは、充分な保護を提供できると記載していた問題 CVE-2022-29885 に対する修正です。(CVE-2022-29885)

不具合修正(Catalina)

* JNDI BeanFactory の forceString オプションが無効化され、String を受け付ける同名の別のセッターの自動的な検索に置き換えられました。これはセキュリティ強化策です。(65736)

* クライアント証明書認証が利用可能かどうかの検査中に、コネクタで boundOnInit が使われた場合の SSLAuthenticator の NPE が回避されました。(65991)

* 証明書の DN を取り出すために getSubjectX500Principal().getName(…) ではなく getSubjectX500Principal().toString() が使われるようになりました。これは、以前使われていて、現在は非推奨となった getSubjectDN().getName() の出力に合わせるためです。(66009)

不具合修正(Coyote)

* Linux カーネルの accept が重複したエンドポイントを返すバグの根本原因が、その修正を含むカーネルのバージョンと共に特定されました。このバグが発生した場合に表示されるエラーメッセージがこの新たな情報を反映するよう更新され、ユーザにカーネル 5.10 もしくはそれ以降を使用している OS バージョンにアップデートするよう勧告するようになりました。

* 65726 についての修正が改善され、より広い範囲のユースケースのリクエストボディについて HTTP アップグレードがサポートされました。(66023)

* StandardThreadExecutor の prestartminSpareThreads 属性が削除されました。これは、全てのコアスレッドがデフォルトで常に起動されるようになったので、この属性の意味がなくなったからです。

不具合修正(Webapps)

* ドキュメント Web アプリケーションで、プロダクション環境で Jasper の trimSpaces オプションの使用を推奨することを明確にしました。(66008)

機能追加・改良(Catalina)

* CsrfPreventionFilter がリファクタリングされ、サブクラスで、ノンスの生成や格納の変更が行いやすくなりました。(65853)

* ja ロケールについての Shift_JIS のマッピングを ServletResponse.setLocale() で使用されるデフォルトのマッピングに追加する 9.0.59 での変更が取り消されました。UTF-8 を使用しているアプリケーションにリグレッションを引き起こしたためです。

* Kubernetes のサービスバインディングから値を得るプロパティソースが提供されました。

機能追加・改良(Coyote)

* 新しい属性 maxHttpRequestHeaderSize と maxHttpResponseHeaderSize が追加されました。これらは、HTTP ヘッダの最大サイズを別々に指定します。これらが指定されていない場合は、maxHttpHeaderSize コネクタ属性の値が使われます。(#501)

* 内部のインメモリキーストアで設定を行う際の PKCS#1 フォーマットの秘密鍵の暗号化のサポートが追加されました。

機能追加・改良(Other)

* フランス語翻訳が改善されました。

* ドイツ語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* Commons Daemon が 1.3.1 に更新されました。66055 で説明されているように Windows のサービスをカスタムスクリプトで設定する際の、1.3.0 での既知のリグレッションがこれにより修正されます。

* JSign が 4.1 に更新されました。

* OpenSSL 1.1.1o でビルドされた Windows バイナリを使用するために、Tomcat Native Library のパッケージ化バージョンが 1.2.33 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-8.5-doc/changelog.html#Tomcat_8.5.79_(schultz)