Jak jsou plněny státní zakázky na provoz a údržbu IT systémů

Je to již více než rok, kdy o níže uvedených zranitelnostech na webových stránkách Czech POINTU informoval ve zdejším Bugtracku Emkei. Protože jsem nyní při procházení webových stránek Czech POINTu na tyto zranitelnosti opět narazil, rozhodl jsem se je znovu vytáhnout na světlo a formou tohoto článku informovat nejen o jejich existenci, ale uvést i nějaké ty informace o tom, kdo je za tento stav zodpovědný.

Nejprve si dovolím odcitovat pár informací z Wikipedie o samotném vzniku Czech POINTu.

Czech POINT je český státní projekt, v jehož rámci obecní úřady s rozšířenou působností, krajské úřady, notáři a další právnické osoby (např. provozovny České pošty a lokální pracoviště Hospodářské komory ČR s příslušným oprávněním) mohou lidem vydávat výpisy z katastru nemovitostí, z rejstříku trestů či živnostenského rejstříku. Vznikl 22. června 2005 a jeho propagátorem byl poslanec Ivan Langer – od roku 2006 ministr vnitra v Topolánkově vládě. Síť byla naplno spuštěna 28. ledna 2008.

Webové stránky Czechpointu běží na známém CMS Drupal, jak nám ostatně samy stránky ochotně sdělí:

Nyní si, prosím, všimněte data, které jsem v citaci z Wikipedie záměrně zvýraznil. Jedná se datum 28.ledna 2008, kdy byla síť naplno spuštěna. Jedná se ale zřejmě také o poslední termín, kdy provozovatel webových stránek Drupal naposledy aktualizoval!!! Důkazem je changelog dostupný na adrese http://www.czechpoint.cz/web/CHANGELOG.txt, který informuje o aktuálně nainstalované verzi CMS 5.7, která byla uvolněna kupodivu právě 28.ledna 2008:

Za ty čtyři a půl roku, které uběhly od ledna 2008, se toho v IT světě událo opravdu hodně a v jednom z nejvíce rozšířených open-source redakčních systémů, kterým Drupal bezpochyby je, tomu nebylo jinak. Nahlédněme schválně do obsahu changelogu aktuální verze 7.14 (resp.7.15) http://drupalcode.org/project/drupal.git/blob/09b754ae8a78fdc9ab076779f10ce5d81c656623:/CHANGELOG.txt. Zjistíme, že se changelog Drupalu od verze 5.7, která je použita na Czech POINTu, rozrostl o neuvěřitelných 811 řádků!!!

DRUPAL Changelog ================================== 1 2 Drupal 7.15, xxxx-xx-xx (development version) 3 ----------------------- 4 - Fixed notice: Undefined index: default_image in image_field_prepare_view() 5 - Fixed data loss issue due to field_has_data() returning inconsistent results. 6   The fix adds an optional DANGEROUS_ACCESS_CHECK_OPT_OUT tag to entity field 7   queries which field storage engines can respond to (API addition: 8   http://drupal.org/node/1597378). 9 - Fixed issue where field form structure was incomplete if field_access() 10   returned FALSE. Instead of being incomplete, the form structure now has 11   #access set to FALSE and field form validation is skipped (array structure 12   change). 13 - Added EntityFieldQuery support for taxonomy bundles. 14 - Introduced generic entity language support. Entities may now declare their 15   language property in hook_entity_info(), and modules working with entities 16   may access the language using entity_language() (API change: 17   http://drupal.org/node/1626346). 18 - Fixed regression: The first plural index on a page was not calculated 19   correctly. 20 - Fixed bug: Language detection by domain only worked on port 80. 21 - Fixed bug which prevented image styles from being deleted on PHP 5.4. 22 - Made Ajax alert dialogs respect error reporting settings. 23 - Fixed bug which prevented the jQuery UI Datepicker from being localized. 24 25 Drupal 7.14 2012-05-02 26 ---------------------- 27 - Fixed "integrity constraint" fatal errors when rebuilding registry. 28 - Fixed custom logo and favicon functionality referencing incorrect paths. 29 - Fixed DB Case Sensitivity: Allow BINARY attribute in MySQL. 30 - Split field_bundle_settings out per bundle. 31 - Improve UX for machine names for fields (UI change). 32 - Fixed User pictures are not removed properly. 33 - Fixed HTTPS sessions not working in all cases. 34 - Fixed Regression: Required radios throw illegal choice error when none 35   selected. 36 - Fixed allow autocompletion requests to include slashes. 37 - Eliminate $user->cache and {session}.cache in favor of 38   $_SESSION['cache_expiration'][$bin] (Performance). 39 - Fixed focus jumps to tab when pressing enter on a form element within tab. 40 - Fixed race condition in locale() - duplicates in {locales_source}. 41 - Fixed Missing "Default image" per field instance. 42 - Quit clobbering people's work when they click the filter tips link 43 - Form API #states: Fix conditionals to allow OR and XOR constructions. 44 - Fixed Focus jumps to tab when pressing enter on a form element within tab. 45   (Accessibility) 46 - Improved performance of node_access queries. 47 - Fixed Fieldsets inside vertical tabs have no title and can't be collapsed. 48 - Reduce size of cache_menu table (Performance). 49 - Fixed unnecessary aggregation of CSS/JS (Performance). 50 - Fixed taxonomy_autocomplete() produces SQL error for nonexistent field. 51 - Fixed HTML filter is not run first by default, despite default weight. 52 - Fixed Overlay does not work with prefixed URL paths. 53 - Better debug info for field errors (string change). 54 - Fixed Data corruption in comment IDs (results in broken threading on 55   PostgreSQL). 56 - Fixed machine name not editable if every character is replaced. 57 - Fixed user picture not appearing in comment preview (Markup change). 58 - Added optional vid argument for taxonomy_get_term_by_name(). 59 - Fixed Invalid Unicode code range in PREG_CLASS_UNICODE_WORD_BOUNDARY fails 60   with PCRE 8.30. 61 - Fixed {trigger_assignments()}.hook has only 32 characters, is too short. 62 - Numerous fixes to run-tests.sh. 63 - Fixed Tests in profiles/[name]/modules cannot be run and cannot use a 64   different profile for running tests. 65 - Numerous JavaScript performance fixes. 66 - Numerous documentation fixes. 67 - Fixed All pager links have an 'active' CSS class. 68 - Numerous upgrade path fixes; notably: 69   - system_update_7061() fails on inserting files with same name but different 70     case. 71   - system_update_7061() converts filepaths too aggressively. 72   - Trigger upgrade path: Node triggers removed when upgrading to 7-x from 6.25. 73 74 Drupal 7.13 2012-05-02 75 ---------------------- 76 - Fixed security issues (Multiple vulnerabilities), see SA-CORE-2012-002. 77 78 Drupal 7.12, 2012-02-01 79 ---------------------- 80 - Fixed bug preventing custom menus from receiving an active trail. 81 - Fixed hook_field_delete() no longer invoked during field_purge_data(). 82 - Fixed bug causing entity info cache to not be cleared with the rest of caches. 83 - Fixed file_unmanaged_copy() fails with Drupal 7.7+ and safe_mode() or 84   open_basedir(). 85 - Fixed Nested transactions throw exceptions when they got out of scope. 86 - Fixed bugs with the Return-Path when sending mail on both Windows and 87   non-Windows systems. 88 - Fixed bug with DrupalCacheArray property visibility preventing others from 89   extending it (API change: http://drupal.org/node/1422264). 90 - Fixed bug with handling of non-ASCII characters in file names (API change: 91   http://drupal.org/node/1424840). 92 - Reconciled field maximum length with database column size in image and 93   aggregator modules. 94 - Fixes to various core JavaScript files to allow for minification and 95   aggregation. 96 - Fixed Prevent tests from deleting main installation's tables when 97   parent::setUp() is not called. 98 - Fixed several Poll module bugs. 99 - Fixed several Shortcut module bugs. 100 - Added new hook_system_theme_info() to provide ability for contributed modules 101   to test theme functionality. 102 - Added ability to cancel mail sending from hook_mail_alter(). 103 - Added support for configurable PDO connection options, enabling master-master 104   database replication. 105 - Numerous improvements to tests and test runner to pave the way for faster test 106   runs. 107 - Expanded test coverage. 108 - Numerous API documentation improvements. 109 - Numerous performance improvements, including token replacement and render 110   cache. 111 112 Drupal 7.11, 2012-02-01 113 ---------------------- 114 - Fixed security issues (Multiple vulnerabilities), see SA-CORE-2012-001. 115 116 Drupal 7.10, 2011-12-05 117 ---------------------- 118 - Fixed Content-Language HTTP header to not cause issues with Drush 5.x. 119 - Reduce memory usage of theme registry (performance). 120 - Fixed PECL upload progress bar for FileField 121 - Fixed running update.php doesn't always clear the cache. 122 - Fixed PDO exceptions on long titles. 123 - Fixed Overlay redirect does not include query string. 124 - Fixed D6 modules satisfy D7 module dependencies. 125 - Fixed the ordering of module hooks when using module_implements_alter(). 126 - Fixed "floating" submit buttons during AJAX requests. 127 - Fixed timezone selected on install not propogating to admin account. 128 - Added msgctx context to JS translation functions, for feature parity with t(). 129 - Profiles' .install files now available during hook_install_tasks(). 130 - Added test coverage of 7.0 -> 7.x upgrade path. 131 - Numerous notice fixes. 132 - Numerous documentation improvements. 133 - Additional automated test coverage. 134 135 Drupal 7.9, 2011-10-26 136 ---------------------- 137 - Critical fixes to OpenID to spec violations that could allow for 138   impersonation in certain scenarios. Existing OpenID users should see 139   http://drupal.org/node/1120290#comment-5092796 for more information on 140   transitioning. 141 - Fixed files getting lost when adding multiple files to multiple file fields 142   at the same time. 143 - Improved usability of the clean URL test screens. 144 - Restored height/width attributes on images run through the theme system. 145 - Fixed usability bug with first password field being pre-filled by certain 146   browser plugins. 147 - Fixed file_usage_list() so that it can return more than one result. 148 - Fixed bug preventing preview of private images on node form. 149 - Fixed PDO error when inserting an aggregator title longer than 255 characters. 150 - Spelled out what TRADITIONAL means in MySQL sql_mode. 151 - Deprecated "!=" operator for DBTNG; should be "<>". 152 - Added two new API functions (menu_tree_set_path()/menu_tree_get_path()) were 153   added in order to enable setting the active menu trail for dynamically 154   generated menu paths. 155 - Added new "fast 404" capability in settings.php to bypass Drupal bootstrap 156   when serving 404 pages for certain file types. 157 - Added format_string() function which can perform string munging ala the t() 158   function without the overhead of the translation system. 159 - Numerous #states system fixes. 160 - Numerous EntityFieldQuery, DBTNG, and SQLite fixes. 161 - Numerous Shortcut module fixes. 162 - Numerous language system fixes. 163 - Numerous token fixes. 164 - Numerous CSS fixes. 165 - Numerous upgrade path fixes. 166 - Numerous minor string fixes. 167 - Numerous notice fixes. 168 169 Drupal 7.8, 2011-08-31 170 ---------------------- 171 - Fixed critical upgrade path issue with multilingual sites, leading to lost 172   content. 173 - Numerous fixes to upgrade path, preventing fatal errors due to incorrect 174   dependencies. 175 - Fixed issue with saving files on hosts with open_basedir restrictions. 176 - Fixed Update manger error when used with Overlay. 177 - Fixed RTL support in Seven administration theme and Overlay. 178 - Fixes to nested transaction support. 179 - Introduced performance pattern to reduce Drupal core's RAM usage. 180 - Added support for HTML 5 tags to filter_xss_admin(). 181 - Added exception handling to cron. 182 - Added new hook hook_field_widget_form_alter() for contribtued modules. 183 - element_validate_*() functions now available to contrib. 184 - Added new maintainers for several subsystems. 185 - Numerous testing system improvements. 186 - Numerous markup and CSS fixes. 187 - Numerous poll module fixes. 188 - Numerous notice/warning fixes. 189 - Numerous documentation fixes. 190 - Numerous token fixes. 191 192 Drupal 7.7, 2011-07-27 193 ---------------------- 194 - Fixed VERSION string. 195 196 Drupal 7.6, 2011-07-27 197 ---------------------- 198 - Fixed support for remote streamwrappers. 199 - AJAX now binds to 'click' instead of 'mousedown'. 200 - 'Translatable' flag on fields created in UI now defaults to FALSE, to match those created via the API. 201 - Performance enhancement to permissions page on large numbers of permissions. 202 - More secure password generation. 203 - Fix for temporary directory on Windows servers. 204 - run-tests.sh now uses proc_open() instead of pcntl_fork() for better Windows support. 205 - Numerous upgrade path fixes. 206 - Numerous documentation fixes. 207 - Numerous notice fixes. 208 - Numerous fixes to improve PHP 5.4 support. 209 - Numerous RTL improvements. 210 211 Drupal 7.5, 2011-07-27 212 ---------------------- 213 - Fixed security issue (Access bypass), see SA-CORE-2011-003. 214 215 Drupal 7.4, 2011-06-29 216 ---------------------- 217 - Rolled back patch that caused fatal errors in CTools, Feeds, and other modules using the class registry. 218 - Fixed critical bug with saving default images. 219 - Fixed fatal errors when uninstalling some modules. 220 - Added workaround for MySQL transaction support breaking on DDL statments. 221 - Improved page caching with external caching systems. 222 - Fix to Batch API, which was terminating too early. 223 - Numerous upgrade path fixes. 224 - Performance fixes. 225 - Additional test coverage. 226 - Numerous documentation fixes. 227 228 Drupal 7.3, 2011-06-29 229 ---------------------- 230 - Fixed security issue (Access bypass), see SA-CORE-2011-002. 231 232 Drupal 7.2, 2011-05-25 233 ---------------------- 234 - Added a default .gitignore file. 235 - Improved PostgreSQL and SQLite support. 236 - Numerous critical performance improvements. 237 - Numerous critical fixes to the upgrade path. 238 - Numerous fixes to language and translation systems. 239 - Numerous fixes to AJAX and #states systems. 240 - Improvements to the locking system. 241 - Numerous documentation fixes. 242 - Numerous styling and theme system fixes. 243 - Numerous fixes for schema mis-matches between Drupal 6 and 7. 244 - Minor internal API clean-ups. 245 246 Drupal 7.1, 2011-05-25 247 ---------------------- 248 - Fixed security issues (Cross site scripting, File access bypass), see SA-CORE-2011-001. 249 250 Drupal 7.0, 2011-01-05  251 ---------------------- 252 - Database: 253     * Fully rewritten database layer utilizing PHP 5's PDO abstraction layer. 254     * Drupal now requires MySQL >= 5.0.15 or PostgreSQL >= 8.3. 255     * Added query builders for INSERT, UPDATE, DELETE, MERGE, and SELECT queries. 256     * Support for master/slave replication, transactions, multi-insert queries, 257       and other features. 258     * Added support for the SQLite database engine. 259     * Default to InnoDB engine, rather than MyISAM, on MySQL when available. 260       This offers increased scalability and data integrity. 261 - Security: 262     * Protected cron.php -- cron will only run if the proper key is provided. 263     * Implemented a pluggable password system and much stronger password hashes 264       that are compatible with the Portable PHP password hashing framework. 265     * Rate limited login attempts to prevent brute-force password guessing, and 266       improved the flood control API to allow variable time windows and 267       identifiers for limiting user access to resources. 268     * Transformed the "Update status" module into the "Update manager" which 269       can securely install or update modules and themes via a web interface. 270 - Usability: 271     * Added contextual links (a.k.a. local tasks) to page elements, such as 272       blocks, nodes, or comments, which allows to perform the most common tasks 273       with a single click only. 274     * Improved installer requirements check. 275     * Improved support for integration of WYSIWYG editors. 276     * Implemented drag-and-drop positioning for input format listings. 277     * Implemented drag-and-drop positioning for language listing. 278     * Implemented drag-and-drop positioning for poll options. 279     * Provided descriptions and human-readable names for user permissions. 280     * Removed comment controls for users. 281     * Removed display order settings for comment module. Comment display 282       order can now be customized using the Views module. 283     * Removed the 'related terms' feature from taxonomy module since this can 284       now be achieved with Field API. 285     * Added additional features to the default install profile, and implemented 286       a "slimmed down" install profile designed for developers. 287     * Added a built-in, automated cron run feature, which is triggered by site 288       visitors. 289     * Added an administrator role which is assigned all permissions for 290       installed modules automatically. 291     * Image toolkits are now provided by modules (rather than requiring a 292       manual file copy to the includes directory). 293     * Added an edit tab to taxonomy term pages. 294     * Redesigned password strength validator. 295     * Redesigned the add content type screen. 296     * Highlight duplicate URL aliases. 297     * Renamed "input formats" to "text formats". 298     * Moved text format permissions to the main permissions page. 299     * Added configurable ability for users to cancel their own accounts. 300     * Added "vertical tabs", a reusable interface component that features 301       automatic summaries and increases usability. 302     * Replaced fieldsets on node edit and add pages with vertical tabs. 303 - Performance: 304     * Improved performance on uncached page views by loading multiple core 305       objects in a single database query. 306     * Improved performance for logged-in users by reducing queries for path 307       alias lookups. 308     * Improved support for HTTP proxies (including reverse proxies), allowing 309       anonymous page views to be served entirely from the proxy. 310 - Documentation: 311     * Hook API documentation now included in Drupal core. 312 - News aggregator: 313     * Added OPML import functionality for RSS feeds. 314     * Optionally, RSS feeds may be configured to not automatically generate feed blocks. 315 - Search: 316     * Added support for language-aware searches. 317 - Aggregator: 318     * Introduced architecture that allows pluggable parsers and processors for 319       syndicating RSS and Atom feeds. 320     * Added options to suspend updating specific feeds and never discard feeds 321       items. 322 - Testing: 323     * Added test framework and tests. 324 - Improved time zone support: 325     * Drupal now uses PHP's time zone database when rendering dates in local 326       time. Site-wide and user-configured time zone offsets have been converted 327       to time zone names, e.g. Africa/Abidjan. 328     * In some cases the upgrade and install scripts do not choose the preferred 329       site default time zone. The automatically-selected time zone can be 330       corrected at admin/config/regional/settings. 331     * If your site is being upgraded from Drupal 6 and you do not have the 332       contributed date or event modules installed, user time zone settings will 333       fallback to the system time zone and will have to be reconfigured by each user. 334     * User-configured time zones now serve as the default time zone for PHP 335       date/time functions. 336 - Filter system: 337     * Revamped the filter API and text format storage. 338     * Added support for default text formats to be assigned on a per-role basis. 339     * Refactored the HTML corrector to take advantage of PHP 5 features. 340 - User system: 341     * Added clean API functions for creating, loading, updating, and deleting 342       user roles and permissions. 343     * Refactored the "access rules" component of user module: The user module 344       now provides a simple interface for blocking single IP addresses. The 345       previous functionality in the user module for restricting certain e-mail 346       addresses and usernames is now available as a contributed module. Further, 347       IP address range blocking is no longer supported and should be implemented 348       at the operating system level. 349     * Removed per-user themes: Contributed modules with similar functionality 350       are available. 351 - OpenID: 352     * Added support for Gmail and Google Apps for Domain identifiers. Users can 353       now login with their user@example.com identifier when example.com is powered 354       by Google. 355     * Made the OpenID module more pluggable. 356 - Added code registry: 357     * Using the registry, modules declare their includable files via their .info file, 358       allowing Drupal to lazy-load classes and interfaces as needed. 359 - Theme system: 360     * Removed the Bluemarine, Chameleon and Pushbutton themes. These themes live 361       on as contributed themes (http://drupal.org/project/bluemarine, 362       http://drupal.org/project/chameleon and http://drupal.org/project/pushbutton). 363     * Added Stark theme to make analyzing Drupal's default HTML and CSS easier. 364     * Added Seven as the default administration theme. 365     * Variable preprocessing of theme hooks prior to template rendering now goes 366       through two phases: a 'preprocess' phase and a new 'process' phase. See 367       http://api.drupal.org/api/function/theme/7 for details. 368     * Theme hooks implemented as functions (rather than as templates) can now 369       also have preprocess (and process) functions. See 370       http://api.drupal.org/api/function/theme/7 for details. 371     * Added Bartik as the default theme. 372 - File handling: 373     * Files are now first class Drupal objects with file_load(), file_save(), 374       and file_validate() functions and corresponding hooks. 375     * The file_move(), file_copy() and file_delete() functions now operate on 376       file objects and invoke file hooks so that modules are notified and can 377       respond to changes. 378     * For the occasions when only basic file manipulation are needed--such as 379       uploading a site logo--that don't require the overhead of databases and 380       hooks, the current unmanaged copy, move and delete operations have been 381       preserved but renamed to file_unmanaged_*(). 382     * Rewrote file handling to use PHP stream wrappers to enable support for 383       both public and private files and to support pluggable storage mechanisms 384       and access to remote resources (e.g. S3 storage or Flickr photos). 385     * The mime_extension_mapping variable has been removed. Modules that need to 386       alter the default MIME type extension mappings should implement 387       hook_file_mimetype_mapping_alter(). 388     * Added the hook_file_url_alter() hook, which makes it possible to serve 389       files from a CDN. 390     * Added a field specifically for uploading files, previously provided by 391       the contributed module FileField. 392 - Image handling: 393     * Improved image handling, including better support for add-on image 394       libraries. 395     * Added API and interface for creating advanced image thumbnails. 396     * Inclusion of additional effects such as rotate and desaturate. 397     * Added a field specifically for uploading images, previously provided by 398       the contributed module ImageField. 399 - Added aliased multi-site support: 400     * Added support for mapping domain names to sites directories. 401 - Added RDF support: 402     * Modules can declare RDF namespaces which are serialized in the <html> tag 403       for RDFa support. 404     * Modules can specify how their data structure maps to RDF. 405     * Added support for RDFa export of nodes, comments, terms, users, etc. and 406       their fields. 407 - Search engine optimization and web linking: 408     * Added a rel="canonical" link on node and comment pages to prevent 409       duplicate content indexing by search engines. 410     * Added a default rel="shortlink" link on node and comment pages that 411       advertises a short link as an alternative URL to third-party services. 412     * Meta information is now alterable by all modules before rendering. 413 - Field API: 414     * Custom data fields may be attached to nodes, users, comments and taxonomy 415       terms. 416     * Node bodies and teasers are now Field API fields instead of 417       being a hard-coded property of node objects. 418     * In addition, any other object type may register with Field API 419       and allow custom data fields to be attached to itself. 420     * Provides most of the features of the former Content Construction 421       Kit (CCK) module. 422     * Taxonomy terms are now Field API fields that can be added to any fieldable 423       object. 424 - Installer: 425     * Refactored the installer into an API that allows Drupal to be installed 426       via a command line script. 427 - Page organization 428     * Made the help text area a full featured region with blocks. 429     * Site mission is replaced with the highlighted content block region and 430       separate RSS feed description settings. 431     * The footer message setting was removed in favor of custom blocks. 432     * Made the main page content a block which can be moved and ordered 433       with other blocks in the same region. 434     * Blocks can now return structured arrays for later rendering just 435       like page callbacks. 436 - Translation system 437     * The translation system now supports message context (msgctxt). 438     * Added support for translatable fields to Field API. 439 - JavaScript changes 440     * Upgraded the core JavaScript library to jQuery version 1.4.4. 441     * Upgraded the jQuery Forms library to 2.52. 442     * Added jQuery UI 1.8.7, which allows improvements to Drupal's user 443       experience. 444 - Better module version support 445     * Modules now can specify which version of another module they depend on. 446 - Removed modules from core 447     * The following modules have been removed from core, because contributed 448       modules with similar functionality are available: 449       * Blog API module 450       * Ping module 451       * Throttle module 452 - Improved node access control system. 453     * All modules may now influence the access to a node at runtime, not just 454       the module that defined a node. 455     * Users may now be allowed to bypass node access restrictions without giving 456       them complete access to the site. 457     * Access control affects both published and unpublished nodes. 458     * Numerous other improvements to the node access system. 459 - Actions system 460     * Simplified definitions of actions and triggers. 461     * Removed dependency on the combination of hooks and operations. Triggers 462       now directly map to module hooks. 463 - Task handling 464     * Added a queue API to process many or long-running tasks. 465     * Added queue API support to cron API. 466     * Added a locking framework to coordinate long-running operations across 467       requests. 468 469 Drupal 6.23-dev, xxxx-xx-xx (development release) 470 ----------------------- 471 472 Drupal 6.22, 2011-05-25 473 ----------------------- 474 - Made Drupal 6 work better with IIS and Internet Explorer. 475 - Fixed .po file imports to work better with custom textgroups. 476 - Improved code documentation at various places. 477 - Fixed a variety of other bugs. 478 479 Drupal 6.21, 2011-05-25 480 ---------------------- 481 - Fixed security issues (Cross site scripting), see SA-CORE-2011-001. 482 483 Drupal 6.20, 2010-12-15 484 ---------------------- 485 - Fixed a variety of small bugs, improved code documentation. 486 487 Drupal 6.19, 2010-08-11 488 ---------------------- 489 - Fixed a variety of small bugs, improved code documentation. 490 491 Drupal 6.18, 2010-08-11 492 ---------------------- 493 - Fixed security issues (OpenID authentication bypass, File download access 494   bypass, Comment unpublishing bypass, Actions cross site scripting), 495   see SA-CORE-2010-002. 496 497 Drupal 6.17, 2010-06-02 498 ---------------------- 499 - Improved PostgreSQL compatibility 500 - Better PHP 5.3 and PHP 4 compatibility 501 - Better browser compatibility of CSS and JS aggregation 502 - Improved logging for login failures 503 - Fixed an incompatibility with some contributed modules and the locking system 504 - Fixed a variety of other bugs. 505 506 Drupal 6.16, 2010-03-03 507 ---------------------- 508 - Fixed security issues (Installation cross site scripting, Open redirection, 509   Locale module cross site scripting, Blocked user session regeneration), 510   see SA-CORE-2010-001. 511 - Better support for updated jQuery versions. 512 - Reduced resource usage of update.module. 513 - Fixed several issues relating to support of install profiles and 514   distributions. 515 - Added a locking framework to avoid data corruption on long operations. 516 - Fixed a variety of other bugs. 517 518 Drupal 6.15, 2009-12-16 519 ---------------------- 520 - Fixed security issues (Cross site scripting), see SA-CORE-2009-009. 521 - Fixed a variety of other bugs. 522 523 Drupal 6.14, 2009-09-16 524 ---------------------- 525 - Fixed security issues (OpenID association cross site request forgeries, 526   OpenID impersonation and File upload), see SA-CORE-2009-008. 527 - Changed the system modules page to not run all cache rebuilds; use the 528   button on the performance settings page to achieve the same effect. 529 - Added support for PHP 5.3.0 out of the box. 530 - Fixed a variety of small bugs. 531 532 Drupal 6.13, 2009-07-01 533 ---------------------- 534 - Fixed security issues (Cross site scripting, Input format access bypass and 535   Password leakage in URL), see SA-CORE-2009-007. 536 - Fixed a variety of small bugs. 537 538 Drupal 6.12, 2009-05-13 539 ---------------------- 540 - Fixed security issues (Cross site scripting), see SA-CORE-2009-006. 541 - Fixed a variety of small bugs. 542 543 Drupal 6.11, 2009-04-29 544 ---------------------- 545 - Fixed security issues (Cross site scripting and limited information 546   disclosure), see SA-CORE-2009-005 547 - Fixed performance issues with the menu router cache, the update 548   status cache and improved cache invalidation 549 - Fixed a variety of small bugs. 550 551 Drupal 6.10, 2009-02-25 552 ---------------------- 553 - Fixed a security issue, (Local file inclusion on Windows), 554   see SA-CORE-2009-003 555 - Fixed node_feed() so custom fields can show up in RSS feeds. 556 - Improved PostgreSQL compatibility. 557 - Fixed a variety of small bugs. 558 559 Drupal 6.9, 2009-01-14 560 ---------------------- 561 - Fixed security issues, (Access Bypass, Validation Bypass and Hardening 562   against SQL injection), see SA-CORE-2009-001 563 - Made HTTP request checking more robust and informative. 564 - Fixed HTTP_HOST checking to work again with HTTP 1.0 clients and 565   basic shell scripts. 566 - Removed t() calls from all schema documentation. Suggested best practice 567   changed for contributed modules, see http://drupal.org/node/322731. 568 - Fixed a variety of small bugs. 569 570 Drupal 6.8, 2008-12-11 571 ---------------------- 572 - Removed a previous change incompatible with PHP 5.1.x and lower. 573 574 Drupal 6.7, 2008-12-10 575 ---------------------- 576 - Fixed security issues, (Cross site request forgery and Cross site scripting), see SA-2008-073 577 - Updated robots.txt and .htaccess to match current file use. 578 - Fixed a variety of small bugs. 579 580 Drupal 6.6, 2008-10-22 581 ---------------------- 582 - Fixed security issues, (File inclusion, Cross site scripting), see SA-2008-067 583 - Fixed a variety of small bugs. 584 585 Drupal 6.5, 2008-10-08 586 ---------------------- 587 - Fixed security issues, (File upload access bypass, Access rules bypass, 588   BlogAPI access bypass), see SA-2008-060. 589 - Fixed a variety of small bugs. 590 591 Drupal 6.4, 2008-08-13 592 ---------------------- 593 - Fixed a security issue (Cross site scripting, Arbitrary file uploads via 594   BlogAPI, Cross site request forgeries and Various Upload module 595   vulnerabilities), see SA-2008-047. 596 - Improved error messages during installation. 597 - Fixed a bug that prevented AHAH handlers to be attached to radios widgets. 598 - Fixed a variety of small bugs. 599 600 Drupal 6.3, 2008-07-09 601 ---------------------- 602 - Fixed security issues, (Cross site scripting, cross site request forgery, 603   session fixation and SQL injection), see SA-2008-044. 604 - Slightly modified installation process to prevent file ownership issues on 605   shared hosts. 606 - Improved PostgreSQL compatibility (rewritten queries; custom blocks). 607 - Upgraded to jQuery 1.2.6. 608 - Performance improvements to search, menu handling and form API caches. 609 - Fixed Views compatibility issues (Views for Drupal 6 requires Drupal 6.3+). 610 - Fixed a variety of small bugs. 611 612 Drupal 6.2, 2008-04-09 613 ---------------------- 614 - Fixed a variety of small bugs. 615 - Fixed a security issue (Access bypasses), see SA-2008-026. 616 617 Drupal 6.1, 2008-02-27 618 ---------------------- 619 - Fixed a variety of small bugs. 620 - Fixed a security issue (Cross site scripting), see SA-2008-018. 621 622 Drupal 6.0, 2008-02-13 623 ---------------------- 624 - New, faster and better menu system. 625 - New watchdog as a hook functionality. 626    * New hook_watchdog that can be implemented by any module to route log 627      messages to various destinations. 628    * Expands the severity levels from 3 (Error, Warning, Notice) to the 8 629      levels defined in RFC 3164. 630    * The watchdog module is now called dblog, and is optional, but enabled by 631      default in the default install profile. 632    * Extended the database log module so log messages can be filtered. 633    * Added syslog module: useful for monitoring large Drupal installations. 634 - Added optional e-mail notifications when users are approved, blocked, or 635   deleted. 636 - Drupal works with error reporting set to E_ALL. 637 - Added scripts/drupal.sh to execute Drupal code from the command line. Useful 638   to use Drupal as a framework to build command-line tools. 639 - Made signature support optional and made it possible to theme signatures. 640 - Made it possible to filter the URL aliases on the URL alias administration 641   screen. 642 - Language system improvements: 643     * Support for right to left languages. 644     * Language detection based on parts of the URL. 645     * Browser based language detection. 646     * Made it possible to specify a node's language. 647     * Support for translating posts on the site to different languages. 648     * Language dependent path aliases. 649     * Automatically import translations when adding a new language. 650     * JavaScript interface translation. 651     * Automatically import a module's translation upon enabling that module. 652 - Moved "PHP input filter" to a standalone module so it can be deleted for 653   security reasons. 654 - Usability: 655     * Improved handling of teasers in posts. 656     * Added sticky table headers. 657     * Check for clean URL support automatically with JavaScript. 658     * Removed default/settings.php. Instead the installer will create it from 659       default.settings.php. 660     * Made it possible to configure your own date formats. 661     * Remember anonymous comment posters. 662     * Only allow modules and themes to be enabled that have explicitly been 663       ported to the correct core API version. 664     * Can now specify the minimum PHP version required for a module within the 665       .info file. 666     * Drupal core no longer requires CREATE TEMPORARY TABLES or LOCK TABLES 667       database rights. 668     * Dynamically check password strength and confirmation. 669     * Refactored poll administration. 670     * Implemented drag-and-drop positioning for blocks, menu items, taxonomy 671       vocabularies and terms, forums, profile fields, and input format filters. 672 - Theme system: 673     * Added .info files to themes and made it easier to specify regions and 674       features. 675     * Added theme registry: modules can directly provide .tpl.php files for 676       their themes without having to create theme_ functions. 677     * Used the Garland theme for the installation and maintenance pages. 678     * Added theme preprocess functions for themes that are templates. 679     * Added support for themeable functions in JavaScript. 680 - Refactored update.php to a generic batch API to be able to run time-consuming 681   operations in multiple subsequent HTTP requests. 682 - Installer: 683     * Themed the installer with the Garland theme. 684     * Added form to provide initial site information during installation. 685     * Added ability to provide extra installation steps programmatically. 686     * Made it possible to import interface translations at install time. 687 - Added the HTML corrector filter: 688     * Fixes faulty and chopped off HTML in postings. 689     * Tags are now automatically closed at the end of the teaser. 690 - Performance: 691     * Made it easier to conditionally load .include files and split up many core 692       modules. 693     * Added a JavaScript aggregator. 694     * Added block-level caching, improving performance for both authenticated 695       and anonymous users. 696     * Made Drupal work correctly when running behind a reverse proxy like 697       Squid or Pound. 698 - File handling improvements: 699     * Entries in the files table are now keyed to a user instead of a node. 700     * Added reusable validation functions to check for uploaded file sizes, 701       extensions, and image resolution. 702     * Added ability to create and remove temporary files during a cron job. 703 - Forum improvements: 704     * Any node type may now be posted in a forum. 705 - Taxonomy improvements: 706     * Descriptions for terms are now shown on taxonomy/term pages as well 707       as RSS feeds. 708     * Added versioning support to categories by associating them with node 709       revisions. 710 - Added support for OpenID. 711 - Added support for triggering configurable actions. 712 - Added the Update status module to automatically check for available updates 713   and warn sites if they are missing security updates or newer versions. 714   Sites deploying from CVS should use http://drupal.org/project/cvs_deploy. 715   Advanced settings provided by http://drupal.org/project/update_advanced. 716 - Upgraded the core JavaScript library to jQuery version 1.2.3. 717 - Added a new Schema API, which provides built-in support for core and 718   contributed modules to work with databases other than MySQL. 719 - Removed drupal.module. The functionality lives on as the Site network 720   contributed module (http://drupal.org/project/site_network). 721 - Removed old system updates. Updates from Drupal versions prior to 5.x will 722   require upgrading to 5.x before upgrading to 6.x. 723 724 Drupal 5.23, 2010-08-11 725 ----------------------- 726 - Fixed security issues (File download access bypass, Comment unpublishing 727   bypass), see SA-CORE-2010-002. 728 729 Drupal 5.22, 2010-03-03 730 ----------------------- 731 - Fixed security issues (Open redirection, Locale module cross site scripting, 732   Blocked user session regeneration), see SA-CORE-2010-001. 733 734 Drupal 5.21, 2009-12-16 735 ----------------------- 736 - Fixed a security issue (Cross site scripting), see SA-CORE-2009-009. 737 - Fixed a variety of small bugs. 738 739 Drupal 5.20, 2009-09-16 740 ----------------------- 741 - Avoid security problems resulting from writing Drupal 6-style menu 742   declarations. 743 - Fixed security issues (session fixation), see SA-CORE-2009-008. 744 - Fixed a variety of small bugs. 745 746 Drupal 5.19, 2009-07-01 747 ----------------------- 748 - Fixed security issues (Cross site scripting and Password leakage in URL), see 749   SA-CORE-2009-007.           750 - Fixed a variety of small bugs. 751 752 Drupal 5.18, 2009-05-13 753 ----------------------- 754 - Fixed security issues (Cross site scripting), see SA-CORE-2009-006. 755 - Fixed a variety of small bugs. 756 757 Drupal 5.17, 2009-04-29 758 ----------------------- 759 - Fixed security issues (Cross site scripting and limited information 760   disclosure) see SA-CORE-2009-005. 761 - Fixed a variety of small bugs. 762 763 Drupal 5.16, 2009-02-25 764 ----------------------- 765 - Fixed a security issue, (Local file inclusion on Windows), see SA-CORE-2009-004. 766 - Fixed a variety of small bugs. 767 768 Drupal 5.15, 2009-01-14 769 ----------------------- 770 - Fixed security issues, (Hardening against SQL injection), see 771   SA-CORE-2009-001 772 - Fixed HTTP_HOST checking to work again with HTTP 1.0 clients and basic shell 773   scripts. 774 - Fixed a variety of small bugs. 775 776 Drupal 5.14, 2008-12-11 777 ----------------------- 778 - removed a previous change incompatible with PHP 5.1.x and lower. 779 780 Drupal 5.13, 2008-12-10 781 ----------------------- 782 - fixed a variety of small bugs. 783 - fixed security issues, (Cross site request forgery and Cross site scripting), see SA-2008-073 784 - updated robots.txt and .htaccess to match current file use. 785 786 Drupal 5.12, 2008-10-22 787 ----------------------- 788 - fixed security issues, (File inclusion), see SA-2008-067 789 790 Drupal 5.11, 2008-10-08 791 ----------------------- 792 - fixed a variety of small bugs. 793 - fixed security issues, (File upload access bypass, Access rules bypass, 794   BlogAPI access bypass, Node validation bypass), see SA-2008-060 795 796 Drupal 5.10, 2008-08-13 797 ----------------------- 798 - fixed a variety of small bugs. 799 - fixed security issues, (Cross site scripting, Arbitrary file uploads via 800   BlogAPI and Cross site request forgery), see SA-2008-047 801 802 Drupal 5.9, 2008-07-23 803 ---------------------- 804 - fixed a variety of small bugs. 805 - fixed security issues, (Session fixation), see SA-2008-046 806 807 Drupal 5.8, 2008-07-09 808 ---------------------- 809 - fixed a variety of small bugs. 810 - fixed security issues, (Cross site scripting, cross site request forgery, and 811   session fixation), see SA-2008-044

Co to ve výsledku znamená? Nebudeme chodit okolo horké kaše a rovnou si řekněme, že je celý systém, na kterém webové stránky CzechPointu běží, děravý jak cedník a každý si tak může vybrat z nepřeberného množství zranitelností, kterými jej lze zkompromitovat.

Se znalostí struktury Drupalu si snadno načtete například seznam běžících modulů nebo administrátorů:
http://www.czechpoint.cz/web/?q=/admin/build/modules resp. http://www.czechpoint.cz/web/admin/build/modules

http://www.czechpoint.cz/web/admin/user/user

Pro uživatelský komfort je pak samozřejmě k dispozici directory listing některých adresářů a mnoho a mnoho dalších vychytávek.

Nejedná se ale pouze o webového stránky samotného Czech POINTu. Ani ostatní systémy, které jsou na Czech POINT navázány, nejsou zcela aktuální, umožňují výpis adresářů a obsahují mnoho XSS zranitelností. Například:

https://www.czechpoint.cz/overovacidolozky/search.do?guid=%22%3E%3Chr%3E
https://www.czechpoint.cz/portaluzivatele/p/login?e=%3Chr%3E
https://www.czechpoint.cz/uschovna/index.php?page=stahnout_soubor (XSS ve form.)
http://eshop.czechpoint.cz/data/

Raději ani nechci vědět, jaké jsou verze ostatního serverového softwaru, ale počítám, že také zamrzly někdy v letech 2008-2010 a od té doby je nikdo neaktualizoval. Prostě a jednoduše Czech POINT Hack-me. Škoda, že je jen pro začátečníky, protože jsou všechny jeho slabiny na internetu velmi dobře zdokumentovány :(

Ze zákulisí

Na vývoji systému Czech POINT se od samého počátku podílela největší měrou společnost Novell Professional Services Česká republika, s.r.o.. Ta mimojiné vyhrála v roce 2008 také veřejnou zakázku č.60018466 na správu, podporu a údržbu centrály Czech POINT v hodnotě 24.365.546,-Kč. Následujícího roku vyhrála opět stejná společnost veřejnou zakázku č.60033650 na provoz a údržbu Czech Pointu pro následující období. Tentokrát se jednalo o zakázku za 84.800.000,-Kč.

Začátkem tohoto roku následovalo trochu hektické období, které vyvrcholilo zadáním zakázky na půlroční provoz a údržbu Czech Pointu opět společnosti Novell Professional Services Česká republika, s.r.o., tentokrát v hodnotě 39.720.000,-Kč a to bez výběrového řízení.

Pojďme tedy nahlédnout do znění smlouvy o dílo, kterou mezi sebou Ministerstvo vnitra jako zadavatel a společnost Novell Professional Services Česká republika, s.r.o. jako dodavatel uzavřely. Celé znění smlouvy je veřejně dostupné na internetu. Zajímavý je hlavně odstavec 2.7, který zní:

2.7 Údržba www stránek Systému Czech POINT
Odběratel požaduje zajištění údržby www stránek Czech POINT. Touto správou se rozumí zejména způsob udržování redakčního systému v bezvadném provozním stavu prostřednictvím pravidelných servisních výkonů, provádění pravidelných analýz stavu a funkce systému.
Náplní servisních úkonů je zejména:
a) preventivní údržba a kontrola web stránek;
b) řešení problémů vzniklých při práci redakčního týmu;
c) provádění plánovaných změn systému po dohodě s Odběratelem.

Novell tak evidentně neplní závazky, které z této smlouvy vyplývají. Pokud jsou stejným způsobem jako tento odstavec naplňovány i ostatní body smlouvy, nezbývá než se ptát, za co jsou desítky milionů na provoz a údržbu systému vynakládány.

Aktuálně je ve hře nový tender na provoz Czech POINTU od 1.9.2012, který je tentokrát vyhlášen dokonce v hodnotě 300.000.000,-Kč. Schválně si zkuste tipnout, která důvěryhodná a spolehlivá společnost jej nakonec asi vyhraje. Určitou nápovědu by mohla poskytnout i tato stránka s přehledem výsledků doposud vyhlášených zakázek.

Budoucnosti se ovšem bát rozhodně nemusíme. Společnost Novell totiž zhruba před rokem získala důležité cetifikáty týkající se bezpečnosti a tak se jimi možná brzy začne také řídit.