eRechnung und XXE Attacken

[#1]

Mal als Hinweis:

Hanno Böck hat vor ein paar Wochen einen schönen Talk zu Risiken bei eRechnungen gehalten.

https://media.ccc.de/v/god2025-56476-how-the-eu-created-electro#t=5

Niedergeschrieben hier:

https://invoice.secvuln.info/

 https://www.golem.de/news/zugferd-xrechnung-und-co-wie-elektronische-rechnungen-zum-sicherheitsrisiko-werden-2512-202959-4.html

Was ich mich Frage: Hat die DATEV das auf dem Schirm?

[#2]

Moin,

nachdem dieser Beitrag zumindest knapp 2 Monate unkommentiert geblieben ist, darf man nur hoffen, dass die DATEV zumindest im Hintergrund lesend diese Thematik auf dem Schirm hat.

Das Thema mit der external entity injection ist ja auch grundsätzlich nicht neu.

Bleibt zu hoffen, dass die DATEV zum Parsen der Rechnungen nicht die SAXON Bibliothek nutzt. Und wenn dem so ist, sollte die DATEV das - aus Sicherheitsgründen - auch besser für sich behalten... Daher werden wir wahrscheinlich nie eine Antwort bekommen 🙂