É necessário ter permissão para acessar as imagens.. caso contrário o servidor não irá retorná-las mesmo não. Isso é uma questão de segurança.
A forma mais simples de informar ao servidor que o usuário pode ver a imagem.. é colocar um <t:property> para ela.. exemplo:
<t:property name="foto"/>
Isso irá exibir um link para download exatamente como o que vc mostrou no seu código e também irá liberar a permissao no servidor para exibir a imagem.
Imagino que você não deseje mostrar esse llink.. e sim o <img>.. nesse caso.. utilize comentários de HTML ao redor do <t:property>.. ele será executado (liberando a permissao).. mas não será mostrado...
O seu jsp completo ficaria da seguinte forma (o n:panel não é obrigatório, mas ajuda caso as propriedades estejam sendo renderizadas em duas colunas..):
<n:panel>
<!--
<t:property name="foto"/>
-->
<img src="/sis/DOWNLOADFILE/${estoque.foto.cdfile}" height="75px" width="100px" />
</n:panel>