¿Qué tan malo es la práctica de montar el administrador de Tomcat en Apache2?

Pondría esto en el mismo nivel que la instalación de mysqladmin o phpmyadmin en un servidor web público. Lo ideal sería que no pusieras aplicaciones que puedan realizar acciones administrativas en una ubicación de acceso público (incluso cuando estás protegido con contraseñas, eres vulnerable a un ataque de fuerza bruta).

Además, se sabe que el administrador de Tomcat tiene fallas de seguridad , por lo que evitaría usarlo desde cualquier lugar pero localhost.

Si lo entiendo correctamente, está intentando acceder al administrador de Tomcat desde su oficina. En ese caso, mi recomendación sería configurarlo detrás de SSL y requerir un certificado SSL de cliente aprobado para el acceso, esto debería hacer que sea lo suficientemente seguro, siempre que confíe en la estación de trabajo de su oficina.