2

Tenho uma API Rest rodando em um servidor Tomcat. Se tento acessar diretamente a API e acontece algum erro a página de erros do Tomcat é exibida:

inserir a descrição da imagem aqui Reparem que no final se encontra o seguinte trecho: Apache Tomcat/8.0.30.

Diante da situação tenho algumas questões:

  • Seria uma falha de segurança deixar a versão exposta dessa forma?
  • Como faço pra ocultar essa versão no Windows?

1 Resposta 1

4

Em si, não é uma falha de segurança, mas ainda é uma boa ideia esconder essa informação. Pois caso no futuro se venha a descobrir vulnerabilidades nessa versão específica, e seu serviço não seja atualizado para uma versão mais segura do Tomcat (o que idealmente não deveria ocorrer, mas na prática pode, por diversos motivos), então "anunciar pro mundo" que você está rodando um serviço vulnerável facilitaria o trabalho de quaisquer atacantes que estiverem visando seu servidor.

Para ocultar essa informação, pode-se seguir o procedimento descrito nessa página ou alternativamente aquele descrito no site da OWASP (inclui outras sugestões para manter sua instância segura, vale a pena ler):

  1. Encontre o arquivo catalina.jar (está dentro da pasta especificada como CATALINA_HOME, na subpasta server\lib) e extraia do mesmo o arquivo

    org/apache/catalina/util/ServerInfo.properties
    
  2. Atualize esse arquivo substituindo (ou acrescentando) o server.info com alguma string de sua escolha. Exemplo:

    server.info=Apache Tomcat
    
  3. Das duas uma:

    • Coloque o arquivo atualizado de volta no jar (pode quebrar algumas aplicações, como o Lambda Probe); ou:
    • Crie a estrutura de pastas lib\org\apache\catalina\util dentro de CATALINA_HOME e coloque a versão modificada do ServerInfo.properties lá.
  4. Reinicie o Tomcat.

Isso deve fazer com que as mensagens de erro exibam a string que você escolheu (no exemplo acima, Apache Tomcat) em vez daquela que informa o número de versão.

3
  • Excelente!!!!!!
    – Avelino
    Commented 6/05/2016 às 0:38
  • Muito obrigado @mgibsonbr funcionou perfeitamente. Commented 6/05/2016 às 11:52
  • Excelente!!! Fiz aqui e deu super certo!! Valeu!! Regina Deboni
    – user130713
    Commented 9/11/2018 às 13:39

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .