本リリースノートには Tomcat バージョン 9.0.115 および 9.0.114 のリリース情報が記載されています。9.0.114 は単独ではリリースされていません。

9.0.115

脆弱性修正

* OCSP を使用する場合、Tomcat の OpenSSL を使用したFFM統合では、OCSP レスポンスの検証および有効性 (フレッシュネス) の確認が完全に実施されていませんでした。その結果、証明書の失効確認が回避される可能性があります。(CVE-2026-24734)

不具合修正(Coyote)

* Tomcat のシャットダウン時にクラッシュを引き起こす可能性があった、OpenSSLEngine リソースの同時解放および Tomcat Native ライブラリの終了が防止されるように修正されました。

機能追加・改良(Other)

* GPG によるリリース成果物の署名を任意で無効化できるプロパティ「gpg.sign.files」が追加されました。

9.0.114

不具合修正(Catalina)

* リソースキャッシュが有効な Web アプリケーション内から ClassLoader.getResource().getContent() を呼び出した際、対象リソースが JAR ファイル内にある場合に失敗していた長年のリグレッションに対して、追加修正が行われました。(69623)

* CsrfPreventionFilter において、URL に複数の CSRF トークンが追加されないよう修正されました。

* content-length ヘッダーが設定されていない場合でも、HTTP/2 リクエストのリクエストパラメータが正しく解析されるようになりました。(69918)

* Rewrite Valve において URL エンコードエラーが発生した場合、置換文字を黙って使用するのではなく、例外がスローされるようになりました。

不具合修正(Coyote)

* TLS が有効なカスタムコネクタ使用時に発生する可能性があった NPE が回避されるように修正されました。

* FFM コードで暗号スイートリストを設定した際の警告が、tomcat-native の変更内容と一致するよう改善されました。

* ソケットクローズ直後に TLS オブジェクトが解放されるようになり、メモリ効率が改善されました。(69910)

* SSLHostConfig における JSSE と OpenSSL の設定スタイルチェックが緩和され、信頼属性とそれ以外の属性で異なる設定スタイルを使用できる既存実装が反映されました。

* JSSE の TLS 実装で OpenSSLConf の設定要素を使用した場合の警告メッセージが改善されました。

* FFM 経由で OpenSSL を使用する場合、CA 証明書が設定されていない、かつ設定失敗もしていない場合には、CA 証明書欠如の警告が出力されなくなりました。

* LibreSSL 3.5 未満のバージョンとの互換性を確保するため、OpenSSL FFM コードが修正されました。

* Tomcat のシャットダウン時にクラッシュを引き起こす可能性があった、OpenSSLEngine リソースの同時解放および Tomcat Native ライブラリの終了が防止されるように修正されました。

不具合修正(Jasper)

* 69333 に対する前回修正で発生していたリグレッションが修正され、タグに対して必ず reuse() または release() が呼び出されるようになりました。(69333)

不具合修正(WebSocket)

* WebSocket セッションから取得した Writer または OutputStream がクローズされている状態で書き込みを試みた場合、Writer で要求され、OutputStream で強く推奨されているとおり、IllegalStateException ではなく IOException がスローされるようになりました。(69920)

機能追加・改良(Catalina)

* Tomcat Native の最小および推奨バージョンが 1.3.4 に更新されました。

* Tomcat が提供する Authenticator に ssoReauthenticationMode が追加され、SSO Valve の requireReauthentication 属性を Authenticator ごとに上書きできるようになりました。

機能追加・改良(Coyote)

* OpenSSL と JSSE の TLS 実装間の設定整合性確保のため、SSLHostConfig の ciphers 属性に含まれる TLSv1.3 の暗号スイートは常に無視されるようになり、無視された場合は警告がログに出力されるようになりました。

* TLSv1.3 の暗号スイートを設定するための ciphersuite 属性が SSLHostConfig に追加されました。

* JSSE ベースの TLS コネクタに OCSP サポートが追加され、JSSE および OpenSSL ベースの TLS 実装の双方において、コネクタごとに OCSP の使用可否を設定できるようになりました。また、OpenSSL のチェック内容が JSSE と整合されました。

* OCSP チェックにおいて、失敗を致命的としないソフトフェイルがサポートされるようになりました。(デフォルトでは無効)

* OpenSSL ベースの TLS 実装使用時に、OCSP_basic_verify に渡される検証フラグを設定できるようになりました。

機能追加・改良(Cluster)

* mapSendOptions に人間が読める名前を使用できることが文書化され、channelSendOptions とドキュメント内容が整合されました。(62814)

機能追加・改良(Other)

* テスト実行中の JUnit コンソール出力を抑制する test.silent プロパティが追加されました。複数スレッドでテストを実行する際に、コンソール出力を簡潔にできるようになりました。

* 内部フォークの Commons Pool が 2.13.1 に更新されました。

* 内部フォークの Commons DBCP が 2.14.0 に更新されました。

* Commons Daemon が 1.5.1 に更新されました。

* ByteBuddy が 1.18.3 に更新されました。

* UnboundID が 7.0.4 に更新されました。

* Checkstyle が 12.3.1 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

* Tomcat Native が 1.3.5 に更新されました。

詳細は以下をご覧ください。
https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.115_(remm)

脆弱性修正

* Tomcat が HTTP/0.9 リクエストの GET メソッドに対する制限を行っていませんでした。セキュリティ制限がURIに対しての HEAD リクエストを許可していて GET リクエストを拒否している場合、ユーザは HTTP/0.9 による不正な HEAD リクエストを送信することにより、GET リクエストに対する制限を迂回することができる可能性がありました。(CVE-2026-24733)

* Tomcat は、SNI 拡張機能で提供されたホスト名が HTTP の Host ヘッダーフィールドで提供されたホスト名と同一であることを検証していませんでした。Tomcat が複数のバーチャルホストで構成されており、そのうちの1つのホストの TLS 設定ではクライアント証明書認証が不要で、別のホストでは必要である場合、クライアントは SNI 拡張と HTTP の Host ヘッダーフィールドに異なるホスト名を送信することで、クライアント証明書認証を回避できる可能性がありました。この脆弱性は、クライアント証明書認証が Connector でのみ強制されている場合に限り適用されます。クライアント証明書認証が Web アプリケーション側で強制されている場合には適用されません。(CVE-2025-66614)

不具合修正(Catalina)

* Rewrite Valve の設定が不足している場合のログレベルが INFO に引き上げられました。(69871)

* Host の appBase に不審な値が指定されている場合について、追加の警告ログが出力されるようになりました。

* catalina.jar が tomcat-jni.jar にハード依存しないように変更されました。org.apache.catalina.Connector は org.apache.tomcat.jni.AprStatus の存在を必要としなくなりました。

* SPNEGO 認証における SSO 再認証の挙動が変更されました。SSL Valve に再認証が有効に設定されている場合、通常の SPNEGO 認証が実行されるようになりました。これにより、委譲された資格情報が Web アプリケーションから利用可能になりました。

不具合修正(Coyote)

* KeyStore インスタンスが Connector に直接設定されている場合、TLS Connector 作成時に誤った証明書 KeyStore の場所がログに出力されないようになりました。

* HTTP/0.9 では HTTP メソッドとして GET のみが許可されるようになりました。

不具合修正(Jasper)

* クラスパス作成時に URI を処理する際、無効な URI に対応するため IllegalArgumentException が捕捉されるようになりました。(69877)

* Web アプリケーションのクラスローダーのリポジトリを用いたクラスパスの設定処理が修正されました。

不具合修正(Clustering)

* 9.0.109 で導入された、一部のクラスタリング設定が動作しなくなる不具合が修正されました。

不具合修正(Web Applications)

* Manager: 1 つ以上の Web アプリケーションが起動に失敗した場合に、HTML および JSON の完全なサーバーステータス出力が途中で切れてしまう問題が修正されました。

不具合修正(jdbc-pool)

* 基盤となるコネクションがすでにクローズされている場合、返却時にプールへ追加されないようになりました。(64083)

機能追加・改良(Catalina)

* CrawlerSessionManagerValve において、クライアント識別子を生成するためのカスタム関数を使用できるようになりました。本機能はプログラムからのみ利用可能です。

機能追加・改良(Coyote)

* Connector に strictSNI 属性が追加されました。これにより、SNI ホスト名に基づいて関連付けられた SSLHostConfig 設定と、HTTP プロトコルのホスト名から一致した SSLHostConfig 設定の整合性が検証されるようになりました。一致しない場合、リクエストは拒否されるようになりました。デフォルト値は true で、検証が有効になっています。

機能追加・改良(Web Applications)

* Manager: HTML および JSON の完全なサーバーステータス出力に、Web アプリケーションの状態が含まれるようになりました。

* Documentation: OCSP がサポートされる場合とされない場合について、より分かりやすく説明するためにドキュメントが拡充されました。

機能追加・改良(Other)

* 選択的にテストを実行するためのテストプロファイル機構が追加されました。-Dtest.profile= を指定することで、パターンを直接指定せずに特定のテストサブセットを実行できるようになりました。プロファイルパターンは test-profiles.properties で定義されます。

* ファイル拡張子とメディアタイプのマッピングが、Apache Web Server（httpd）で使用されている最新の一覧に合わせて更新されました。

* Commons Daemon が 1.5.0 に更新されました。

* Byte Buddy が 1.18.2 に更新されました。

* Checkstyle が 12.2.0 に更新されました。

* スペイン語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.113_(remm)