「IDPA：Apache Tomcatのデフォルトインストールのセキュリティ脆弱性

Summary: この記事では、ACMで検出された「Security Vulnerabilities for Apache Tomcat default installation/またはwelcome page installed」に対する回避策について説明します。

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.

Check out other resources

Instructions

IDPAのポート8543のACM部分で、次の脆弱性が検出される可能性があります。

脆弱性のタイトル	コンポーネント	サービスポート	脆弱性の重大度レベル	脆弱性の説明	脆弱性への配慮	脆弱性ソリューション
Apache Tomcatのデフォルトインストールまたはようこそページがインストールされている	ACM	8543	5	Tomcatのデフォルトのインストール、つまり「ようこそ」ページがこのサーバーにインストールされています。これは通常、新しくインストールされたサーバーがまだ適切に構成されておらず、認識されていない可能性があることを示します。多くの場合、Tomcatは他のアプリケーションと一緒にインストールされ、ユーザーはWebサーバーが実行されていることに気付かない場合があります。これらのサーバーはめったに更新されず、めったに監視されないため、ハッカーはアラームを鳴らす可能性が低い便利なターゲットを提供します。	HTTPSサービスを実行しています * 製品 Tomcat が存在します -- Apache Tomcat 9.0.45。 `HTTP GET` リクエスト先 `https://<ACM IP>:8543/` HTTP 応答コードは予想どおり 200 でした。 `<h1>Apache Tomcat/9.0.45</h1> 27: </div> 28: <div id="upper" class="curved container"> 29: <div id="congrats" class="curved container"> 30: ... this, you have successfully installed Tomcat. Congratulations!</h2>`	デフォルトのページを変更するか、Tomcatサーバーを完全に停止して無効にします。このサーバーが必要な機能を提供する必要がある場合は、デフォルトのページを関連するコンテンツに置き換える必要があります。それ以外の場合は、複雑さを最小限に抑えるというセキュリティ原則に従って、このサーバーをネットワークから削除する必要があります。

この問題を回避するには、次の手順に従います。

rootとしてACMにログインします
作業ディレクトリーを次のように変更します。 /usr/local/dataprotection/apache-tomcat-9.0.*/webapps/ROOT.

acm:~ # cd /usr/local/dataprotection/apache-tomcat-9.0.*/webapps/ROOT

この例では、Apache Tomcatのパスは

/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT

これは、作業中のIDPAバージョンに応じて変更できます。

が index.jsp ファイルは次のディレクトリーに存在します。

acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT # ls -la
total 188
drwxr-x--- 3 idpauser idpauser  4096 Nov 12 00:29 .
drwxr-x--- 6 idpauser idpauser  4096 Dec  6 17:00 ..
-rw-r----- 1 idpauser idpauser 12243 Feb  4  2022 1
-rw-r----- 1 idpauser idpauser  6898 Mar 30  2021 RELEASE-NOTES.txt
drwxr-x--- 2 idpauser idpauser  4096 May  7  2021 WEB-INF
-rw-r----- 1 idpauser idpauser 27235 Mar 30  2021 asf-logo-wide.svg
-rw-r----- 1 idpauser idpauser   713 Mar 30  2021 bg-button.png
-rw-r----- 1 idpauser idpauser  1918 Mar 30  2021 bg-middle.png
-rw-r----- 1 idpauser idpauser  1401 Mar 30  2021 bg-nav.png
-rw-r----- 1 idpauser idpauser  3103 Mar 30  2021 bg-upper.png
-rw-r----- 1 idpauser idpauser 21630 Mar 30  2021 favicon.ico
-rw-r----- 1 idpauser idpauser 12243 Feb  4  2022 index.jsp
-rw-r----- 1 idpauser idpauser  5542 Mar 30  2021 tomcat.css
-rw-r----- 1 idpauser idpauser 67795 Mar 30  2021 tomcat.svg
acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT #

既存の index.jsp コピーして index.jsp.defaultが使用するJava Runtime Environmentへのパスを定義します。

acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT # cp -p index.jsp index.jsp.default

メモ: 参考までに、回避策を実装する前に、次のコマンドを実行します curl -kv https://localhost:8543の詳細を確認してください。この出力は、回避策後の出力を比較するために手順8で使用する必要があります。

という名前の新しいファイルを作成します。 index.jsp そして、その内容を次のように置き換えます。

<html>
<body>
<%
response.sendRedirect("../dataprotection/");
%>
</body>
</html>

ここでは、 index.jsp ：

既存の index.jsp

rm index.jsp

新規作成 index.jsp viエディターを使用してファイルを作成します。

vi index.jsp

アクセスするには、 i をクリックして挿入モードに入ります。これにより、ファイルを編集できます。
上記のテキストをコピーして、viエディターに貼り付けます。
押して挿入モードを終了します Esc
次のように入力して、変更を保存し、viを終了します。 :wq! をクリックし、 Enter キーを押します。

次の内容を確認します: index.jsp ファイルを次のコマンドを使用して作成します。

acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT # ls -la
total 192
drwxr-x--- 3 idpauser idpauser  4096 Dec  6 17:05 .
drwxr-x--- 6 idpauser idpauser  4096 Dec  6 17:00 ..
-rw-r----- 1 idpauser idpauser 12243 Feb  4  2022 1
-rw-r----- 1 idpauser idpauser  6898 Mar 30  2021 RELEASE-NOTES.txt
drwxr-x--- 2 idpauser idpauser  4096 May  7  2021 WEB-INF
-rw-r----- 1 idpauser idpauser 27235 Mar 30  2021 asf-logo-wide.svg
-rw-r----- 1 idpauser idpauser   713 Mar 30  2021 bg-button.png
-rw-r----- 1 idpauser idpauser  1918 Mar 30  2021 bg-middle.png
-rw-r----- 1 idpauser idpauser  1401 Mar 30  2021 bg-nav.png
-rw-r----- 1 idpauser idpauser  3103 Mar 30  2021 bg-upper.png
-rw-r----- 1 idpauser idpauser 21630 Mar 30  2021 favicon.ico
-rw-r----- 1 idpauser idpauser    81 Feb 10 05:27 index.jsp
-rw-r----- 1 idpauser idpauser 12243 Feb  4  2022 index.jsp.default
-rw-r----- 1 idpauser idpauser  5542 Mar 30  2021 tomcat.css
-rw-r----- 1 idpauser idpauser 67795 Mar 30  2021 tomcat.svg

acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT # cat index.jsp
<html>
<body>
<%
response.sendRedirect("../dataprotection/");
%>
</body>
</html>
acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT #

Webブラウザーを開いてACM Webページにアクセスし、正常に動作しているかどうかを確認します。ACM Webページを開くと、次のようになります。

https://<ACM IP Adddress>:8543/

自動的にリダイレクトされます。

https://<ACM IP Adddress>:8543/dataprotection/#/login

ACMコマンドラインで変更を検証します。

回避策を実装する前に、 curl -kv https://localhost:8543 は次のようになります。

メモ: 「 curl -kv https://<ACM IP address>:8543 同じ結果が返されます。

acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT # curl -kv https://localhost:8543
* Rebuilt URL to: https://localhost:8543/
*   Trying 12x.0.0.1...
* TCP_NODELAY set
* Connected to localhost (12x.0.0.1) port 8543 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Client hello (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-SHA384
* ALPN, server did not agree to a protocol
* Server certificate:
*  subject: C=US; ST=California; L=Irvine; O=EMC; OU=Avamar; CN=localhost.localdom
*  start date: Feb  4 12:27:16 2022 GMT
*  expire date: Feb  2 12:27:16 2032 GMT
*  issuer: C=US; ST=California; L=Irvine; O=EMC; OU=Avamar; CN=localhost.localdom
*  SSL certificate verify result: self signed certificate (18), continuing anyway.
> GET / HTTP/1.1
> Host: localhost:8543
> User-Agent: curl/7.60.0
> Accept: */*
>
< HTTP/1.1 200
< Content-Type: text/html;charset=UTF-8
< Transfer-Encoding: chunked
< Date: Fri, 10 Feb 2023 05:39:29 GMT
< Connection: close
< Server: DataDomain
<



<!DOCTYPE html>
<html lang="en">
    <head>
        <meta charset="UTF-8" />
        <title>Apache Tomcat/9.0.45</title>
        <link href="favicon.ico" rel="icon" type="image/x-icon" />
        <link href="tomcat.css" rel="stylesheet" type="text/css" />
     <script>window.location = window.location.origin + "/dataprotection/"; </script></head>

    <body>
        <div id="wrapper">
            <div id="navigation" class="curved container">
                <span id="nav-home"><a href="https://tomcat.apache.org/">Home</a></span>
                <span id="nav-hosts"><a href="/docs/">Documentation</a></span>
                <span id="nav-config"><a href="/docs/config/">Configuration</a></span>
                <span id="nav-examples"><a href="/examples/">Examples</a></span>
                <span id="nav-wiki"><a href="https://wiki.apache.org/tomcat/FrontPage">Wiki</a></span>
                <span id="nav-lists"><a href="https://tomcat.apache.org/lists.html">Mailing Lists</a></span>
                <span id="nav-help"><a href="https://tomcat.apache.org/findhelp.html">Find Help</a></span>
                <br class="separator" />
            </div>
            <div id="asf-box">
                <h1>Apache Tomcat/9.0.45</h1>
            </div>
            <div id="upper" class="curved container">
                <div id="congrats" class="curved container">
                    <h2>If you're seeing this, you've successfully installed Tomcat. Congratulations!</h2>
                </div>

... skipped

    </body>

</html>

回避策を実装すると、出力は次のようになります。

acm:/usr/local/dataprotection/apache-tomcat-9.0.45/webapps/ROOT # curl -kv https://localhost:8543
* Rebuilt URL to: https://localhost:8543/
*   Trying 12x.0.0.1...
* TCP_NODELAY set
* Connected to localhost (12x.0.0.1) port 8543 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Client hello (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-SHA384
* ALPN, server did not agree to a protocol
* Server certificate:
*  subject: C=US; ST=California; L=Irvine; O=EMC; OU=Avamar; CN=localhost.localdom
*  start date: Feb  4 12:27:16 2022 GMT
*  expire date: Feb  2 12:27:16 2032 GMT
*  issuer: C=US; ST=California; L=Irvine; O=EMC; OU=Avamar; CN=localhost.localdom
*  SSL certificate verify result: self signed certificate (18), continuing anyway.
> GET / HTTP/1.1
> Host: localhost:8543
> User-Agent: curl/7.60.0
> Accept: */*
>
< HTTP/1.1 302
< Set-Cookie: JSESSIONID=3396A12A1A458BBB4DDCB636A72B66EE; Path=/; Secure; HttpOnly
< Location: ../dataprotection/
< Content-Type: text/html;charset=ISO-8859-1
< Content-Length: 0
< Date: Fri, 10 Feb 2023 05:42:58 GMT
< Connection: close
< Server: DataDomain
<
* Closing connection 0
* TLSv1.2 (OUT), TLS alert, Client hello (1):

Additional Information

上記の手順を実行した後、ACM Webページに「HTTP Status 500 - Internal Server Error」と表示される場合は、次のようにします。

「HTTP ステータス 500 - 内部サーバーエラー」

SSHを使用してrootユーザーとしてACMにログインし、次のコマンドを使用してACMサービスを再起動します。

service dataprotection_webapp stop
service dataprotection_webapp start

次に、ACM Webページを再ロードします。

必要に応じて、 Dellサポートにお問い合わせください。

Affected Products

PowerProtect DP4400, PowerProtect DP5300, PowerProtect DP5800, PowerProtect DP8300, PowerProtect DP8800, PowerProtect Data Protection Software, Integrated Data Protection Appliance Family, Integrated Data Protection Appliance Software , PowerProtect DP5900, PowerProtect DP8400, PowerProtect DP8900 ...

Article Number: 000206114

Article Type: How To

Last Modified: 25 Aug 2025

Version: 11

Check if your device is covered by Support Services.

「IDPA：Apache Tomcatのデフォルトインストールのセキュリティ脆弱性

Summary: この記事では、ACMで検出された「Security Vulnerabilities for Apache Tomcat default installation/またはwelcome page installed」に対する回避策について説明します。

Instructions

Additional Information

Affected Products

Article Properties

Find answers to your questions from other Dell users

Support Services

Article Properties

Find answers to your questions from other Dell users

Support Services

「IDPA：Apache Tomcatのデフォルト インストールのセキュリティ脆弱性

Summary: この記事では、ACMで検出された「Security Vulnerabilities for Apache Tomcat default installation/またはwelcome page installed」に対する回避策について説明します。

Detailed Article

Instructions

Additional Info

Affected Products

Instructions

Additional Information

Affected Products

Article Properties

Find answers to your questions from other Dell users

Support Services

Article Properties

Find answers to your questions from other Dell users

Support Services

「IDPA：Apache Tomcatのデフォルトインストールのセキュリティ脆弱性