При HTTP-запросе в котором указано имя сервера не подходящее ни под один из виртуальных серверов показывается содержимое JSP-страницы.
vulners.com/securityvulns/securityvulns:doc:1212