Catalina.policy for SAP BO

["Chavez Ortiz, Oscar (Externo)" <Os...@vwfs.com>]

Hello group.

Our system is a SAP Business Object 4.2 server wich uses Tomcat 9.0.58 as web container.

We’re implementing Security Hardening for Tomcat in our BO Server server, thus, i’ve configured starting configuration in java options with “– Security Manager” option.

Now, the problem is when opening SAP BO Launch Pad tool in web browser i’m gettint the HTTP 500 error.

I think that the catalina.policy file isn’t accordingly configurated and there are some permissions left that aren’t implemented.

My request is: If you have any template of catalina.policy that implements Security Manager for SAP BO and you can share it i’d compare it against the ours one.

SAP Support said that Tomcat is not part of their duties because it’s a third software.

Thank you in advance.
Best regards.
Oscar.
AVISO LEGAL

Este mensaje y su contenido está dirigido únicamente a su destinatario y es confidencial. Por ello, se informa a quien lo reciba por error o tenga conocimiento del mismo sin ser su destinatario, que la información contenida en él es reservada y su uso no autorizado, por lo que en tal caso le rogamos nos lo comunique por la misma vía o por teléfono 91.427.99.03, así como que se abstenga de reproducir el mensaje mediante cualquier medio o remitirlo o entregarlo a otra persona, procediendo a su destrucción de manera inmediata.

VOLKSWAGEN RENTING SA se reserva las acciones legales que le correspondan contra todo tercero que acceda de forma ilegítima al contenido de cualquier mensaje externo procedente del mismo.

VOLKSWAGEN FINANCIAL SERVICES es una marca comercializada por Volkswagen Renting SA

Se le informa que sus datos personales son tratados por Volkswagen Renting S.A., con domicilio social en Avda. de Bruselas, nº 34, 28108, Alcobendas (Madrid).

Ud. podrá ejercitar los derechos de acceso, rectificación o supresión, oposición y portabilidad de los datos, bien por correo postal a VOLKSWAGEN RENTING S.A. a la dirección indicada arriba o por correo electrónico a clientes.renting@vwfs.com<ma...@vwfs.com>. Asimismo, y en las mismas direcciones, Ud. podrá solicitar la limitación del tratamiento de sus datos en los casos legalmente previstos. Igualmente, puede contactar con nuestro Delegado de Protección de Datos en la siguiente dirección DPO.es@vwfs.com<ma...@vwfs.com>. Asimismo, podrá dirigirse a la Agencia Española de Protección de Datos.

---------------------------------------------------------------------
To unsubscribe, e-mail: users-unsubscribe@tomcat.apache.org
For additional commands, e-mail: users-help@tomcat.apache.org

Re: Catalina.policy for SAP BO

[lo...@kreuser.name]

Oscar,

> Am 11.05.2022 um 10:14 schrieb Chavez Ortiz, Oscar (Externo) <Os...@vwfs.com>:
> 
> Hello group.
> 
> Our system is a SAP Business Object 4.2 server wich uses Tomcat 9.0.58 as web container.
> 
> We’re implementing Security Hardening for Tomcat in our BO Server server, thus, i’ve configured starting configuration in java options with “– Security Manager” option.
> 

as an InfoSec and OpSec Manager in my company and a hardening fetishist I would recommend to review the recent comments of Marc...

In you situation I'd try to dispute the need for the implementation of Tomcat with Security Manager and focus on the hardening of the underlying OS/machine and used services. That would lead to a more substantial and durable result.

Java Security Manager has been a pain for a long time and if you don't want to put effort in now and then after every update of BO (or any other software), don't do it.

In my opinion the requirements of your hardening guidelines may be not appropriate for the risk level of your application (SAP BO vs. health data in hospitals eg). In our company I would go with a risk acceptance or even change the requirements - if I read about the future removal of the security manager functionality.


Just my 2ct.

Peter

> Now, the problem is when opening SAP BO Launch Pad tool in web browser i’m gettint the HTTP 500 error.
> 
> I think that the catalina.policy file isn’t accordingly configurated and there are some permissions left that aren’t implemented.
> 
> My request is: If you have any template of catalina.policy that implements Security Manager for SAP BO and you can share it i’d compare it against the ours one.
> 
> SAP Support said that Tomcat is not part of their duties because it’s a third software.
> 
> Thank you in advance.
> Best regards.
> Oscar.
> AVISO LEGAL
> 
> Este mensaje y su contenido está dirigido únicamente a su destinatario y es confidencial. Por ello, se informa a quien lo reciba por error o tenga conocimiento del mismo sin ser su destinatario, que la información contenida en él es reservada y su uso no autorizado, por lo que en tal caso le rogamos nos lo comunique por la misma vía o por teléfono 91.427.99.03, así como que se abstenga de reproducir el mensaje mediante cualquier medio o remitirlo o entregarlo a otra persona, procediendo a su destrucción de manera inmediata.
> 
> VOLKSWAGEN RENTING SA se reserva las acciones legales que le correspondan contra todo tercero que acceda de forma ilegítima al contenido de cualquier mensaje externo procedente del mismo.
> 
> VOLKSWAGEN FINANCIAL SERVICES es una marca comercializada por Volkswagen Renting SA
> 
> Se le informa que sus datos personales son tratados por Volkswagen Renting S.A., con domicilio social en Avda. de Bruselas, nº 34, 28108, Alcobendas (Madrid).
> 
> Ud. podrá ejercitar los derechos de acceso, rectificación o supresión, oposición y portabilidad de los datos, bien por correo postal a VOLKSWAGEN RENTING S.A. a la dirección indicada arriba o por correo electrónico a clientes.renting@vwfs.com<ma...@vwfs.com>. Asimismo, y en las mismas direcciones, Ud. podrá solicitar la limitación del tratamiento de sus datos en los casos legalmente previstos. Igualmente, puede contactar con nuestro Delegado de Protección de Datos en la siguiente dirección DPO.es@vwfs.com<ma...@vwfs.com>. Asimismo, podrá dirigirse a la Agencia Española de Protección de Datos.
> 
> ---------------------------------------------------------------------
> To unsubscribe, e-mail: users-unsubscribe@tomcat.apache.org
> For additional commands, e-mail: users-help@tomcat.apache.org
> 


---------------------------------------------------------------------
To unsubscribe, e-mail: users-unsubscribe@tomcat.apache.org
For additional commands, e-mail: users-help@tomcat.apache.org

Re: [OT] Catalina.policy for SAP BO

[Christopher Schultz <ch...@christopherschultz.net>]

Zdeněk,

On 5/11/22 14:03, Zdeněk Henek wrote:
> Java Security Manager is deprecated in jdk 17 release
> https://docs.oracle.com/en/java/javase/17/docs/api/java.base/java/lang/SecurityManager.html
> and may be even removed soon.

That didn't stop Apache Solr from proudly declaring that their brand-new 
9.0 release has the SM enabled by default (presumably for the first time 
ever).

https://lists.apache.org/thread/25wwy2p2oj9oo3klnkv3mg6cgkwgg2kl

-chris

> On Wed, May 11, 2022 at 10:14 AM Chavez Ortiz, Oscar (Externo) <
> Oscar.Chavez.Externo@vwfs.com> wrote:
> 
>> Hello group.
>>
>> Our system is a SAP Business Object 4.2 server wich uses Tomcat 9.0.58 as
>> web container.
>>
>> We’re implementing Security Hardening for Tomcat in our BO Server server,
>> thus, i’ve configured starting configuration in java options with “–
>> Security Manager” option.
>>
>> Now, the problem is when opening SAP BO Launch Pad tool in web browser i’m
>> gettint the HTTP 500 error.
>>
>> I think that the catalina.policy file isn’t accordingly configurated and
>> there are some permissions left that aren’t implemented.
>>
>> My request is: If you have any template of catalina.policy that implements
>> Security Manager for SAP BO and you can share it i’d compare it against the
>> ours one.
>>
>> SAP Support said that Tomcat is not part of their duties because it’s a
>> third software.
>>
>> Thank you in advance.
>> Best regards.
>> Oscar.
>> AVISO LEGAL
>>
>> Este mensaje y su contenido está dirigido únicamente a su destinatario y
>> es confidencial. Por ello, se informa a quien lo reciba por error o tenga
>> conocimiento del mismo sin ser su destinatario, que la información
>> contenida en él es reservada y su uso no autorizado, por lo que en tal caso
>> le rogamos nos lo comunique por la misma vía o por teléfono 91.427.99.03,
>> así como que se abstenga de reproducir el mensaje mediante cualquier medio
>> o remitirlo o entregarlo a otra persona, procediendo a su destrucción de
>> manera inmediata.
>>
>> VOLKSWAGEN RENTING SA se reserva las acciones legales que le correspondan
>> contra todo tercero que acceda de forma ilegítima al contenido de cualquier
>> mensaje externo procedente del mismo.
>>
>> VOLKSWAGEN FINANCIAL SERVICES es una marca comercializada por Volkswagen
>> Renting SA
>>
>> Se le informa que sus datos personales son tratados por Volkswagen Renting
>> S.A., con domicilio social en Avda. de Bruselas, nº 34, 28108, Alcobendas
>> (Madrid).
>>
>> Ud. podrá ejercitar los derechos de acceso, rectificación o supresión,
>> oposición y portabilidad de los datos, bien por correo postal a VOLKSWAGEN
>> RENTING S.A. a la dirección indicada arriba o por correo electrónico a
>> clientes.renting@vwfs.com<ma...@vwfs.com>. Asimismo, y
>> en las mismas direcciones, Ud. podrá solicitar la limitación del
>> tratamiento de sus datos en los casos legalmente previstos. Igualmente,
>> puede contactar con nuestro Delegado de Protección de Datos en la siguiente
>> dirección DPO.es@vwfs.com<ma...@vwfs.com>. Asimismo, podrá
>> dirigirse a la Agencia Española de Protección de Datos.
>>
>> ---------------------------------------------------------------------
>> To unsubscribe, e-mail: users-unsubscribe@tomcat.apache.org
>> For additional commands, e-mail: users-help@tomcat.apache.org
>>
> 

---------------------------------------------------------------------
To unsubscribe, e-mail: users-unsubscribe@tomcat.apache.org
For additional commands, e-mail: users-help@tomcat.apache.org

Re: Catalina.policy for SAP BO

[Zdeněk Henek <vr...@gmail.com>]

Hi,

Java Security Manager is deprecated in jdk 17 release
https://docs.oracle.com/en/java/javase/17/docs/api/java.base/java/lang/SecurityManager.html
and may be even removed soon.

Regards,
Zdenek Henek

On Wed, May 11, 2022 at 10:14 AM Chavez Ortiz, Oscar (Externo) <
Oscar.Chavez.Externo@vwfs.com> wrote:

> Hello group.
>
> Our system is a SAP Business Object 4.2 server wich uses Tomcat 9.0.58 as
> web container.
>
> We’re implementing Security Hardening for Tomcat in our BO Server server,
> thus, i’ve configured starting configuration in java options with “–
> Security Manager” option.
>
> Now, the problem is when opening SAP BO Launch Pad tool in web browser i’m
> gettint the HTTP 500 error.
>
> I think that the catalina.policy file isn’t accordingly configurated and
> there are some permissions left that aren’t implemented.
>
> My request is: If you have any template of catalina.policy that implements
> Security Manager for SAP BO and you can share it i’d compare it against the
> ours one.
>
> SAP Support said that Tomcat is not part of their duties because it’s a
> third software.
>
> Thank you in advance.
> Best regards.
> Oscar.
> AVISO LEGAL
>
> Este mensaje y su contenido está dirigido únicamente a su destinatario y
> es confidencial. Por ello, se informa a quien lo reciba por error o tenga
> conocimiento del mismo sin ser su destinatario, que la información
> contenida en él es reservada y su uso no autorizado, por lo que en tal caso
> le rogamos nos lo comunique por la misma vía o por teléfono 91.427.99.03,
> así como que se abstenga de reproducir el mensaje mediante cualquier medio
> o remitirlo o entregarlo a otra persona, procediendo a su destrucción de
> manera inmediata.
>
> VOLKSWAGEN RENTING SA se reserva las acciones legales que le correspondan
> contra todo tercero que acceda de forma ilegítima al contenido de cualquier
> mensaje externo procedente del mismo.
>
> VOLKSWAGEN FINANCIAL SERVICES es una marca comercializada por Volkswagen
> Renting SA
>
> Se le informa que sus datos personales son tratados por Volkswagen Renting
> S.A., con domicilio social en Avda. de Bruselas, nº 34, 28108, Alcobendas
> (Madrid).
>
> Ud. podrá ejercitar los derechos de acceso, rectificación o supresión,
> oposición y portabilidad de los datos, bien por correo postal a VOLKSWAGEN
> RENTING S.A. a la dirección indicada arriba o por correo electrónico a
> clientes.renting@vwfs.com<ma...@vwfs.com>. Asimismo, y
> en las mismas direcciones, Ud. podrá solicitar la limitación del
> tratamiento de sus datos en los casos legalmente previstos. Igualmente,
> puede contactar con nuestro Delegado de Protección de Datos en la siguiente
> dirección DPO.es@vwfs.com<ma...@vwfs.com>. Asimismo, podrá
> dirigirse a la Agencia Española de Protección de Datos.
>
> ---------------------------------------------------------------------
> To unsubscribe, e-mail: users-unsubscribe@tomcat.apache.org
> For additional commands, e-mail: users-help@tomcat.apache.org
>