Em si, não é uma falha de segurança, mas ainda é uma boa ideia esconder essa informação. Pois caso no futuro se venha a descobrir vulnerabilidades nessa versão específica, e seu serviço não seja atualizado para uma versão mais segura do Tomcat (o que idealmente não deveria ocorrer, mas na prática pode, por diversos motivos), então "anunciar pro mundo" que você está rodando um serviço vulnerável facilitaria o trabalho de quaisquer atacantes que estiverem visando seu servidor.
Para ocultar essa informação, pode-se seguir o procedimento descrito nessa página ou alternativamente aquele descrito no site da OWASP (inclui outras sugestões para manter sua instância segura, vale a pena ler):
Encontre o arquivo catalina.jar
(está dentro da pasta especificada como CATALINA_HOME
, na subpasta server\lib
) e extraia do mesmo o arquivo
org/apache/catalina/util/ServerInfo.properties
Atualize esse arquivo substituindo (ou acrescentando) o server.info
com alguma string de sua escolha. Exemplo:
server.info=Apache Tomcat
Das duas uma:
- Coloque o arquivo atualizado de volta no jar (pode quebrar algumas aplicações, como o Lambda Probe); ou:
- Crie a estrutura de pastas
lib\org\apache\catalina\util
dentro de CATALINA_HOME
e coloque a versão modificada do ServerInfo.properties
lá.
Reinicie o Tomcat.
Isso deve fazer com que as mensagens de erro exibam a string que você escolheu (no exemplo acima, Apache Tomcat
) em vez daquela que informa o número de versão.