Tomcat 8.5 WEB-INFコンテンツへのアクセスが可能なURL

Question

Tomcat 8.5アプリケーションのWEB-INFコンテンツにセキュリティ問題があります。 URLを介してWEB-INF（つまりweb.xml）のコンテンツにアクセスすることはできませんが、アクセスできるようです。このアクセスを制限するにはどうすればよいですか？私はそれがボックスから制限されるべきだと思った。私はlinuxを使用しています。許可はrw、rはグループ、rはグループです。

ご迷惑をおかけして申し訳ございません。

Answer 1

通常、/ WEB-INFの下のファイルには外部から直接アクセスできません。ファイルにアクセスできる場合、アプリケーションにはパストラバーサルのような脆弱性が存在します。単純な解決策は、例えば、Tomcatの前にApacheによってWEB-INFを含むURLへのアクセスを制限することです。