ホスト応答からの情報漏えい

問題

特定の状況下で Tomcat サーバーから返される詳細なエラー レポートに、環境に関する技術情報が含まれているという指摘が ColdFusion ユーザーからありました。

この問題は、次の対策で回避できます。

回避策

  1. ColdFusion サーバーを停止します。

  2. [インスタンスホーム]\runtime\conf\server.xml に移動します。

    変更を行う前に server.xml をバックアップしておくことをおすすめします。

  3. Host ノードに次の項目を追加します。

    <Valve  
                   className=&quot;org.apache.catalina.valves.ErrorReportValve&quot; 
                   showReport=&quot;false&quot; 
                   showServerInfo=&quot;false&quot;  
    />

    また、次の Tomcat のドキュメントも参照してください。

  4. 更新後の server.xml ファイルは次のようになります。

    <Host autoDeploy=&quot;false&quot; appBase=&quot;webapps&quot; name=&quot;localhost&quot; unpackWARs=&quot;false&quot;> 
        <Valve className=&quot;org.apache.catalina.valves.ErrorReportValve&quot; showReport=&quot;false&quot; showServerInfo=&quot;false&quot;/> 
    . 
    . 
    . 
    </ホスト>
  5. ColdFusion を再起動します。

カスタムエラーページ

ColdFusion(2018 リリース)では、カスタムエラーページを追加できます。

メッセージをカスタマイズするには、次の項目を追加します。

errorCode.<Status Code>="Path to error page relative to the runtime folder"

例えば、エラー 500 のページをカスタマイズするには、server.xml の <Valve/> に次のコードを追加します。

<Valve  
                className=&quot;org.apache.catalina.valves.ErrorReportValve&quot;  
                showReport=&quot;false&quot;  
                showServerInfo=&quot;false&quot; 
                errorCode.500=&quot;../wwwroot/WEB-INF/exception/Error.html&quot; 
/>

カスタムエラーページを作成し、指定したフォルダーに配置する必要があります。

Adobe, Inc.

ヘルプをすばやく簡単に入手

新規ユーザーの場合