脆弱性修正

* 接続のクローズ処理における競合状態により、APR/Native コネクタを使用している場合に JVM がクラッシュし、DoS (サービス拒否) 状態を引き起こす可能性がありました。特に、クライアント側から HTTP/2 接続を終了した場合にこの問題が顕著に現れることがありました。(CVE-2025-52434)

* 一部の稀なマルチパートアップロード構成において、整数オーバーフローの脆弱性により、サイズ制限を回避されて DoS (サービス拒否) 状態を引き起こす可能性がありました。(CVE-2025-52520)

* HTTP/2 クライアントが初期設定フレーム (同時接続ストリーム数の上限を減らす) を適切に応答しなかった場合、制御されないリソース消費が発生し、DoS (サービス拒否) 状態に陥る可能性がありました。(CVE-2025-53506)

不具合修正(Catalina)

* 組み込み Web アプリケーションをプログラム的に構成する際に、アプリケーションで設定された welcome ファイルがデフォルトを上書きするよう修正されました。

* デフォルトのサーブレットが、コンテンツ長が既知であり、まだ書き込みが行われておらず、Writer が使用されている場合に、Content-Length を設定できるようになりました。

* CVE-2025-49125 の修正によるリグレッションが修正されました。このリグレッションにより、ファイルセパレータで終わるパスで Web アプリケーションルートの下にマウントされた PreResources および PostResources にアクセスできなくなっていました。(69717)

* multipart アップロードでファイル以外のパートが、クエリ文字列のパラメータよりも先に処理される場合に、maxParameterCount の適用値が想定よりも小さくなる問題が修正されました。(69731)

* multipart リクエストのサイズ追跡が、FileUpload の long 型の使用に合わせて調整されました。

不具合修正(Coyote)

* maxPartCount のデフォルト値が 10 から 50 に増加されました。また、DoS リスクを回避しつつ multipart アップロードをサポートするためのメモリ要件に関するドキュメントが更新されました。(69710)

* Content-Length ヘッダーを含む場合に、パディングを含む HTTP/2 のデータフレームを正しく処理するよう修正されました。(69713)

* HTTP/2 リクエストに対する統計情報を正しく収集し、1 つのリクエストが重複してカウントされないように修正されました。

* keepAliveCount の JMX 値が修正されました。また、JMX に useVirtualThreads の値も追加されました。

* APR/Native コネクタの安定性が向上しました。

* HTTP/2 で任意の証明書検証を使用している場合の誤った警告が削除されました。また、Web アプリケーションが HTTP/2 または TLS 1.3 (JSSE 実装) で CLIENT-CERT を使用しようとしたときの警告メッセージが改善されました。(69728)

* HTTP/2 接続の初期制限を設定する際に、その制限をより早い段階で適用するようになりました。

機能追加・改良(Jasper)

* EL 文法から IDENTIFIER 用の IMPL_OBJ_START が削除されました。

* EL 文法から未使用の INSTANCEOF および FUNCTIONSUFFIX の定義が削除されました。

機能追加・改良(Web applications)

* ドキュメント: WebDAV や HTTP PUT リクエストなどを通じて Web アプリケーションへの書き込みアクセスを有効にする際のセキュリティ上の考慮事項について、より明確なガイダンスが追加されました。

* ドキュメント: セキュリティ考慮事項のページに、リバースプロキシに関するセクションが追加されました。

機能追加・改良(Other)

* UnboundID がバージョン 7.0.3 に更新されました。

* Checkstyle がバージョン 10.25.1 に更新されました。

* フランス語翻訳の改善が行われました。

* 日本語翻訳の改善が行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.107_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.107

不具合修正(Catalina)

* java:comp 名前空間をミラーリングする java:module 名前空間のサポートが追加されました。

* 単一の URL セグメント内で「;」区切りの複数のパスパラメータを解析できるようになりました。

* リライトバルブで使用されるリダイレクト URL を、必要に応じてセッションID付きでエンコードし、リライト使用時に異なるセッション設定を持つクロスコンテキストを適切に処理できるようになりました。(69699)

* 無限セッションタイムアウトを許可した際に FORM 認証で発生した保存済みリクエストのシリアライズ問題が修正されました。(69706)

* Web アプリケーション内のパスにマウントされた Pre-Resources および Post-Resources に対するパスチェックが拡張されました。

不具合修正(Jasper)

* JSP コンパイル失敗後に、JSP ラッパーを再ロード対象としてマークするようになりました。(69696)

不具合修正(Web applications)

* Web アプリケーションマネージャを用いたデプロイ作業時、コピー操作が失敗した際のエラーメッセージ出力が改善されました。(69694)

不具合修正(Other)

* webappClassLoader.stackTraceRequestThread メッセージにスレッド名が追加されました。

* Windows インストーラが icacls.exe を使用してファイルのアクセス権を設定する際、フルパスを使用するようになりました。

[機能追加・改良(Catalina)]

* HTTP リクエスト内のパラメータ数に制限を設ける ParameterLimitValve が新たに追加されました。このバルブでは、URL ごとに設定可能なパラメータ数の制限が可能です。

* Apache httpd と動作を一致させるため、テキストリライトマップファイルの行末にコメントを追加できるようになりました。(#863)

機能追加・改良(Coyote)

* TaskQueue を新しいインターフェース RetryableQueue を使用するようリファクタリングされました。これにより、独自の BlockingQueue 実装を持つカスタム Executor の統合性が向上します。(#861)

* Connector 要素に2つの新しい属性を追加し、マルチパートリクエスト処理の詳細な制御が可能になりました。maxPartCount はマルチパートリクエスト内のパート数を、maxPartHeaderSize は各パートに付随するヘッダーのサイズを制限します。これらの新属性に対する ParameterLimitValve のサポートも追加されました。

機能追加・改良(Other)

* Apache Commons FileUpload の内部フォークがバージョン 1.6.0-RC1（2025-06-05）に更新されました。

* EasyMock が 5.6.0 に更新されました。

* Checkstyle が 10.25.0 に更新されました。

* CVE-2024-56337 への保護機能の改善が service.bat にも適用されました。(#858)

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.106_(remm)