Чем прекрасен Fortify, так это его прекрасной документацией: HTTP Verb Tampering . Речь о том что в своем конфиге ты описал только GET & POST методы как те которые CONFIDENTIAL. Соответственно если я отправлю HEAD или какой-то вымышленный BLAH, то он дойдет до сервлета без всяких проверок.

Я не знаю смотрит ли Fortify на то реально ли ты обрабатываешь все возможные и невозможные HTTP методы, либо он смотрит только на конфиг. От этого зависит есть ли у тебя настоящая дыра или это, возможно, ложноположительный результат.

Как это чинится не знаю, я не знаток JEE. Но по идее нужно где-то указать что мы позволяем только такие-то HTTP методы и никакие больше.