脆弱性修正

* 以前の CVE-2024-50379 に対する緩和策は不完全でした。9.0.98 以降にアップグレードすることに加えて、デフォルトのサーブレット書き込みが有効になっている大文字と小文字を区別しないファイルシステムで Tomcat を実行しているユーザーは、使用している Java のバージョンに応じて追加の構成が必要になる場合があります。本件は 2024/12/20 に公開されています。(CVE-2024-56337)

• Java 8 または Java 11 を使用している場合: システムプロパティsun.io.useCanonCachesを明示的にfalseに設定する必要があります。(デフォルトは true です)
• Java 17 を使用している場合: システムプロパティsun.io.useCanonCaches が設定されている場合、それを false に設定する必要があります。(デフォルトは false です)
• Java 21 以降を使用している場合: 追加の設定は不要です。(このシステムプロパティおよび問題のあるキャッシュは削除されています)

* 複数の Web アプリケーションサンプルでは、アップロードされたデータに制限が設けられておらず、OutOfMemoryError がトリガーされてサービス拒否が発生する可能性がありました。本件は 2024/12/17 に公開されています。(CVE-2024-54677)

* 大文字と小文字を区別しないファイル システムに対して、デフォルトのサーブレットが書き込み可能 (readonly 初期化パラメータがデフォルト以外の値である false に設定) になっている場合、同じファイルの読み込み中に読み取りとアップロードを同時に実行すると、Tomcat の大文字と小文字の区別のチェックがバイパスされ、アップロードされたファイルが JSP として扱われ、リモートコード実行につながる可能性がありました。本件は 2024/12/17 に公開されています。(CVE-2024-50379)

不具合修正(Catalina)

* storeconfig の SSLHostConfig の protocols 属性に特別な処理が追加されました。

* リクエストパラメータを解析する際の content-type での大文字と小文字を区別するチェックが修正されました。(69442)

* コンストラクターまたはプロパティ関連のメソッドがチェック済み例外をスローするコンポーネントと、生成された埋め込みコードの互換性が修正されました。

* 同時読み取りおよび書き込み中のリソースメタデータの不一致に対する以前の修正は不完全でした。この問題が修正されました。

* アプリケーション定義のエラーページが呼び出されるときに、jakarta.servlet.error.message リクエスト属性が設定されていることを確認するように修正されました。(69444)

* ステータスサーブレットによって生成された JSON 内の数値に引用符を使用しないように修正されました。

* ディレクトリリストにクライアントロケールを使用するように修正されました。

* ExpiresFilter の複数の Cache-Control ヘッダーの処理が改善されました。(69439)

* 外部リポジトリからロードされたクラスを考慮し、Web アプリケーションのクラスローダーが見つけられないクラスのキャッシュサポートが更新されました。この修正が行われる前は、これらのクラスは誤って見つからないとマークされる可能性がありました。(69447)

* HEAD リクエストの処理が見直されました。ユーザーが明示的に設定したヘッダーは削除されず、HEAD リクエストに存在するヘッダーは同等の GET リクエストにも存在します。RFC 9110 のセクション 9.3.2 に従って、GET リクエストに存在するが同等の HEAD リクエストには存在しないヘッダーがいくつかある可能性がありました。(69466)

* ApplicationDispatcher.invoke() によってキャッチされた CloseNowException のインスタンスが、クライアントの切断や同様の I/O の問題によって発生した可能性が高いため、エラーレベルではなくデバッグレベルでログに記録するように変更されました。(69471)

* DefaultServlet で PUT の失敗を報告しようとするときに、考えられる ISE をキャッチするように変更されました。(69476)

* デフォルトサーブレットは、要求された範囲が2つ以上重複している場合に HTTP 範囲要求を拒否するようになりました。

* デフォルトサーブレットによって処理される部分的な PUT 要求のコンテンツ範囲検証が強化されました。

* グローバルリソースでの DataSourceStore ルックアップを調整し、通常使用されない comp/env プレフィックスを省略できるようになりました。

* RFC 9110 で要求されているように、HTTP Range ヘッダーは GET 要求に対してのみ処理されるようになりました。

* デフォルトサーブレットの useAcceptRanges 初期化パラメータが廃止されました。このパラメータは Tomcat 12 以降で削除され、実質的に true にハードコードされます。

不具合修正(Coyote)

* encodedSolidusHandling がサーブレット仕様に合わせて調整されました。パススルーモードが使用されている場合、アプリケーションがパスをデコードするときにエラーや破損を回避するために、%25 シーケンスもパススルーされるようになりました。

不具合修正(Jasper)

* メソッドパラメータの EL 評価がさらに最適化されました。

* 69381 の修正に続き、式言語でのメソッドルックアップパフォーマンスの最適化が追加の場所にも適用されました。

不具合修正(Web applications)

* ドキュメント: ResourceParams 要素への参照が削除されました。Tomcat 5.5.x では、ResourceParams のサポートが削除されました。

* ドキュメント: RemoteIPFilter の属性名が修正されました。属性は allowedInternalProxies ではなく internalProxies です。(69477)

* 例：サーブレットリクエスト情報の例が、pathInfo コンポーネントを含む URL 経由で呼び出された場合に発生するリンク切れが修正されました。

* 例：リクエストヘッダーの例でのセッションクッキー値の難読化が JSONレスポンスにも拡張されました。

* 例：JSP カレンダーの例が削除されました。

不具合修正(Other)

* Tomcat 組み込み JAR を使用したネイティブイメージコンパイル中の警告が修正されました。(69465)

機能追加・改良(Catalina)

* DefaultServlet と同様に、WebDAV サーブレットでサブパスからのみリソースを提供するオプションが追加されました。

* content-type からメディアタイプとサブタイプを抽出するための重複コードを1つのメソッドにリファクタリングされました。

* WebDAV およびデフォルトサーブレットに強力な ETag サポートが追加されました。これは、値を true に設定した useStrongETags 初期化パラメータを使用して有効にできます。生成される ETag は、リソースコンテンツの SHA-1 チェックサムになります。

* 69442 の修正のテストケースが追加されました。また、application/x-www-form-urlencoded への参照がリファクタリングされました。

* RateLimitFilter で HTTP の RateLimit ヘッダーフィールド (ドラフト) のサポートが追加されました。

* 69478 の回帰テストが追加されました。

* WebdavServlet に DataSource ベースのプロパティストレージが追加されました。

機能追加・改良(Web applications)

* 例：サーブレットセッションの例でセッション属性を削除する機能が追加されました。

* 例：サーブレットセッションの例でセッションごとに属性の最大数を 10 にハードコードで制限するようになりました。

* 例：JSP フォーム認証の例に、セッション属性を削除する機能が追加され、セッションごとに属性の最大数を 10 にハードコードで制限するようになりました。

* 例：ショッピングカートの例で、事前に定義されたアイテムのみをカートに追加できるように制限されました。

機能追加・改良(Other)

* Tomcat の Commons DBCP フォークが 2.13.0 に更新されました。

* EasyMock が 5.5.0 に更新されました。

* Checkstyle が 10.20.2 に更新されました。

* BND が 7.1.0 に更新されました。

* フランス語翻訳が改善されました。

* 韓国語翻訳が改善されました。

* 中国語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.98_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.98

脆弱性修正

* 69333 の修正により、プールされた JSP タグが使用後に解放されなくなり、一部のタグの出力が期待どおりにエスケープされなくなる可能性がありました。このエスケープされていない出力により、XSS が発生する可能性がありました。本件は 2024/11/18 に公開されています。(CVE-2024-52318)

不具合修正(Catalina)

* 部分的にマッピングされたリクエストで CrawlerSessionManagerValve 内の NPE (NullPointerException) が回避されるようになりました。

* フォルダーのロック時に、応答に WebDAV の Lock-Token ヘッダーが追加されるようになりました。

* 無効な WebDAV ロックリクエストは 400 エラーで拒否されるようになりました。

* コレクションをアンロックしようとしたときの WebDAV のリグレッションが修正されました。

* WebDAV コピー操作の宛先がロックされていないことを確認するようになりました。

* リクエスト本文を含む WebDAV MKCOL 操作はオプションでありサポートされていないため、415 応答を送信するようになりました。

* WebDAV XML 要素の名前空間で DAV: を強制するようになりました。

* 親コレクションがロックされている場合、子リソースに対する新しい WebDAV ロックを許可しないようになりました。(RFC 4918 セクション6.1)

* WebDAV Delete は正常に削除されたリソースの既存のロックをすべて削除する必要がありました。この問題が修正されました。

* Web アプリケーションのクラスローダーリソースの検索時に、キャッシュが見つからないという結果が表示されていました。これにより、場合によっては同じクラスを繰り返し検索する java.sql.DriverManager などのコンポーネントによって発生するパフォーマンスの問題が解決されました。大規模な Web アプリケーションでは、これがパフォーマンスの問題を引き起こす可能性がありました。キャッシュのサイズは、StandardContext の新しい notFoundClassResourceCacheSize によって制御できるようになりました。

* サブコンポーネントが初期化後に FAILED 状態になる可能性があるため、INITIALIZED 状態後の停止は noop であるように修正されました。

* 同じリソースに対して PUT および DELETE 要求が同時に発生する場合の Web リソースキャッシュサイズの計算が不正確になる問題が修正されました。

* 同じパスに対する同時読み取りと書き込み (GET と PUT / DELETE など) により、一部のフィールドがファイルが存在するかのように設定され、一部のフィールドが存在しないかのように設定され、FileResource が破損しました。その結果、メタデータに一貫性がありませんでした。

* ExpiresFilter が GET および HEAD リクエストでのみキャッシュヘッダーを設定するようになりました。また、アプリケーションが Cache-Control: no-store を設定しているリクエストをスキップするようになりました。(69415)

* ネストされたインクルードが複数レベルある場合の ServletRequest.getAttribute() のパフォーマンスが改善されました。(69419)

不具合修正(Coyote)

* SSL 実装から返される長さゼロのバイト配列に対して、null SSL セッション ID を返すようになりました。

* BoringSSL はサポートされていないため、OpenSSLConf をスキップするようになりました。

* AbstractHttp11Protocol に HttpParser が存在しない場合は、Http11Processor に HttpParser を作成して、通常の HTTP/1.1 のライフサイクルの堅牢性が向上しました。この新しい動作は、HTTP/2 のパフォーマンスを向上させるために、以前のリファクタリングで導入されました。

* OpenSSLContext は、init メソッドで何か問題が発生したことが確認できた場合、KeyManagementException をスローするようになりました。これは javax.net.ssl.SSLContext.init で文書化されている動作です。これにより、エラー処理の一貫性が向上します。

不具合修正(Jasper)

* 古い生成コードとの互換性のため、ランタイムで非推奨のタグ解放メソッドが再度追加されました。

* タグプーリングを使用しているときにタグ解放が呼び出され、使用していないときにスキップされるというリグレッションが修正されました。このリグレッションは 69333 によって導入されました。(69399)

* 式言語でのメソッド検索のパフォーマンスが改善されました。必要なメソッドに引数がない場合は、キャストや強制を考慮する必要がなく、メソッド検索プロセスが簡素化されました。(69381)

* 生成されたコードで比較的コストのかかるメソッド呼び出しの結果を繰り返すのではなく再利用することで、JSP インクルードアクションのパフォーマンスが改善されました。(69382)

* PageContextImpl での不要なオブジェクト割り当てを回避するようになりました。(69398)

* StringInterpreterEnum を使用する場合、無効な Enum に遭遇しても IllegalArgumentException をスローしないようになりました。代わりに、実行時に値を解決するようになりました。(69406)

* パラメータを受け入れないメソッドのメソッドパラメータの EL 評価が最適化されました。(69429)

機能追加・改良(Catalina)

* 新しい Servlet API メソッド HttpServletResponse.sendEarlyHints() のサポートが追加されました。

* クラスが見つからない場合 (ClassNotFoundException 発生時) に、Digester や Web アプリケーションクラスローダーでクラスパスを報告するデバッグログが追加されました。(55470)

* DefaultServlet のリスト表示で、テーブルヘッダーとボディを適切に分離するようになりました。(69374)

* DefaultServlet の HTML リスト表示の「ファイル最終更新」のレンダリングが改善されました。(69373)

* DefaultServlet のHTML出力が改善されました。

* FilterBase を基本クラスとして使用するように RateLimitFilter がリファクタリングされました。これを行う主な利点は、init-param 値を処理するコードが少なくなることです。

* DefaultServlet の HTML リスト表示で不正なラベルの使用が回避されました。(69370)

* RFC 4918 セクション 7.3 および付録Dに従い、WebDAV ロックの null サポートが削除されました。代わりに、存在しないリソースに対するロックは空のファイルを作成し、通常のロックでロックするようになりました。

* RFC 4918 に準拠するよう WebDAV 共有ロックの実装がリライトされました。

* Apache Jackrabbit プロジェクトのコードを使用して WebDAV の If ヘッダーが実装されました。

* WebDAV Servlet に PropertyStore インターフェースを追加し、デッドプロパティのストレージの実装が可能になりました。WebDAV Servlet の propertyStore 初期化パラメーターでストアの設定が可能になりました。デフォルトでは非永続的な単純実装を使用しています。

* 新たに追加された PropertyStore を使用して WebDAV の PROPPATCH メソッドが実装されました。

* Web リソースキャッシュのデバッグログを追加し、リソースの追加と削除に伴う現在のサイズを追跡できるようになりました。

* RFC 4918の推奨に従い、ロックトークン用のレガシー WebDAV opaquelocktoken: スキームが urn:uuid: に置き換えられ、secret 初期化パラメーターが削除されました。

* アプリケーションが HttpServletResponse.sendError() を 103 ステータスコードで呼び出すことで、早期ヒント情報レスポンスを送信できるようになりました。

機能追加・改良(Other)

* コード署名のプロバイダーが DigiCert ONE から ssl.com の eSigner に切り替えられました。

* Byte Buddy がバージョン 1.15.10 に更新されました。

* CheckStyle がバージョン 10.20.0 に更新されました。

* ドイツ語の翻訳が改善しました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.97_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.97