21.12.2021 log4j-Thematik

Die Java-Schwachstelle log4j ist zwischenzeitlich überall bekannt und wird auch überall sehr ernst genommen, so dass es sich erübrigt über dieses große Gefahrenpotential hier weiter auszuführen.
INVEP selbst sowie alle zu Invep gehörenden bzw. ausgelieferten Komponenten sind davon nicht betroffen.
INVEP enthält keinerlei Java-Komponenten und nutzt auch die log4j-Bibliothek nicht.

Unserere aktuellen Untersuchungen zeigten jedoch, dass die Programmsysteme, die vom Statistischen Bundesamt zur Übermittlung statistischer Daten - auch der Daten zum InsStatG - diese log4j-Bibliotheken sehr wohl enthalten.
Der log4j-Code wird von den Destatis-Meldeprogrammen an zentraler Stelle eingebunden, in wie weit er nach der Einbindung tatsächlich zur Anwendung kommt, ist nicht erkennbar, die Wahrscheinlichkeit ist jedoch sehr hoch.
Wir sind aktuell nicht in der Lage festzustellen, ob die InsStatG-Meldungen davon tatsächlich betroffen sind, denn um dies zu verifizieren, müssten wir den gesamten Code, der vom Statistischen Bundesamt zur Verfügung gestellt wird, analysieren.
Als Anbieter sind wir verpflichtet, den offiziellen Code vom Statistischen Bundesamt zu verwenden. Dieser Code wird im Rahmen der InsStatG-Meldung von Invep gekapselt autark aufgerufen. Da wir - aus oben genannten Gründen - aktuell nicht abschätzen können, welche Gefahr von diesem offiziellen Code ausgeht, raten wir von der Nutzung des Codes und damit von der Übermittlung der InsStatG-Meldungen ab.

22.12.2021 Update

Es steht eine neue Version der Detastis-Module zur Verfügung, die am 21.12.2021 (nach obiger Nachricht) zum Download bereitgestellt wurde. In der neuen Version wurden sämtliche Abhängigkeiten zu log4j grundsätzlicvh entfernt und auch die Bibliothek ist nicht mehr im Lieferumfang enthalten.
Diese neue Version stellen wir unseren Kunden somit ebenfalls ab sofort zur Verfügung.