В отличие от прошлого варианта, в новом обязательстве область неприменения патентного воздействия расширена на ПО, распространяемое под любой лицензией, одобренной организацией OSI (Open Source Initiative) или Фондом свободного ПО. Т.е. отныне обязательства распространяются и на пермиссивные открытые лицензии. Если принятое в 2002 году прошлое обязательство охватывало примерно 35% открытого ПО, то в новое обязательство применимо к 99% открытого кода. Любой открытый проект теперь может легально использовать запатентованные технологии Red Hat, не опасаясь возможного судебного преследования.

1. Главная ссылка к новости
2. OpenNews: IBM использует неприкосновенные патенты против открытого ПО (дополнено)
3. OpenNews: IBM пояснила ситуацию с упоминанием неприкосновенных патентов
4. OpenNews: Лидер Debian предложил добиться соответствия требованиям Фонда СПО к полностью свободным дистрибутивам
5. OpenNews: Компания Tesla Motors разрешила использование своих патентов всем желающим
6. OpenNews: Google и Microsoft договорились о прекращении патентной войны

Из-за отсутствия должного экранирования передаваемых данных возможно указание в форме аутентификации специально оформленного имени пользователя, содержащего маску поиска в LDAP (например, "XX;(&(uid=Admin)(userPassword=A*))"). В процессе атаки возможно извлечение из LDAP-сервера параметров аутентификации для всех имеющихся учётных записей, включая логин и пароль администратора. Извлечение осуществляется методом подбора - на основании ответа сервера можно определить нашлись ли записи для отправленного поискового запроса, что позволяет символ за символом восстановить значение поля.

Из функциональных улучшений Joomla 3.8 можно выделить:

• Новая система маршрутизации обработчиков и система разбора структуры URL с поддержкой вырезания идентификаторов;
• Прослойка для совместимости с будущей веткой Joomla 4, в которой осуществлено изменение структуры кода из-за перевода классов на применение пространств имён. Прослойка позволяет постепенно адаптировать код под новую структуру, благодаря маппингу новых имён классов в старые;
• Возможность загрузки шаблонов данных с реализацией типовых вариантов сайтов после завершения установки Joomla;
• В состав включена реализация API библиотеки Sodium на языке PHP (Polyfill), позволяющая задействовать в своих проектах современные криптографические функции, не дожидаясь релиза PHP 7.2, в котором будет встроено расширение на базе libsodium.

Из особенностей Joomla можно отметить: гибкие инструменты по управлению пользователями, интерфейс для управления медиа-файлами, поддержка создания многоязычных вариантов страниц, система управления рекламными кампаниями, адресная книга пользователей, голосования, встроенный поиск, функции категоризации ссылок и учета кликов, WYSIWYG-редактор, система шаблонов, поддержка меню, управление новостными потоками, XML-RPC API для интеграции с другими системами, поддержка кэширования страниц и большой набор готовых дополнений.

1. Главная ссылка к новости
2. OpenNews: Критическая уязвимость в PHPMailer, применяемом в WordPress, Drupal и Joomla
3. OpenNews: Критические уязвимости в системе управления контентом Joomla
4. OpenNews: В Joomla устранена ещё одна критическая уязвимость
5. OpenNews: Новая критическая уязвимость в Joomla использована для совершения массовой атаки
6. OpenNews: Критическая уязвимость в системе управления контентом Joomla

Возможно создание условий, при которых на каждый поступающий через сетевой интерфейс пакет будет перезаписано 10 байт памяти за пределами выделенного буфера. Например, продемонстрирована возможность использования данной уязвимости для повреждения данных в дисковом разделе XFS при эксплуатации уязвимости в процессе выполнения копирования файлов через rsync (были повреждены структуры в памяти, которые влияют на содержимое данных на диске).

Так как для обращения к AF_PACKET требуется наличие полномочий CAP_NET_RAW, атака имеет смысл только из изолированных контейнеров с пользователем root, запущенных с применением пространств имён идентификаторов пользователей (user namespaces) и изолированного сетевого стека (net namespaces). В Debian и Red Hat Enterprise Linux поддержка user namespaces по умолчанию не активирована, но она включена в Ubuntu и Fedora. Проблема проявляется в ядрах с 4.6 по 4.12 включительно и уже устранена в Fedora 26 и Debian. Все версии RHEL/CentOS, Ubuntu и SUSE/openSUSE проблеме не подвержены. Исправление также доступно в виде патча.

1. Главная ссылка к новости
2. OpenNews: Уязвимости в реализации сокетов AF_PACKET и UDP-стеке ядра Linux
3. OpenNews: Локальная root-уязвимость в подсистеме inotify ядра Linux
4. OpenNews: Локальная root-уязвимость в реализации сокетов AF_PACKET в ядре Linux
5. OpenNews: Уязвимость в реализации NFS-сервера, поставляемой в ядре Linux
6. OpenNews: В Android и старых ядрах Linux устранена уязвимость, эксплуатируемая через отправку UDP-пакетов

Kali включает одну из самых полных подборок инструментов для специалистов в области компьютерной безопасности: от средств для тестирования web-приложений и проникновения в беспроводные сети, до программ для считывания данных с идентификационных RFID чипов. В комплект входит коллекция эксплоитов и более 300 специализированных утилит для проверки безопасности, таких как Aircrack, Maltego, SAINT, Kismet, Bluebugger, Btcrack, Btscanner, Nmap, p0f. Помимо этого, в дистрибутив включены средства для ускорения подбора паролей (Multihash CUDA Brute Forcer) и WPA ключей (Pyrit) через задействование технологий CUDA и AMD Stream, позволяющих использовать GPU видеокарт NVIDIA и AMD для выполнения вычислительных операций.

По сравнению с прошлым выпуском обновлено 1399 пакетов и добавлен 171 новый пакет. Кроме обновлений, импортированных из Debian Testing, отмечается включение следующих новых инструментов:

• hurl – кодировщих и декодировщик URL и шестнадцатеричных последовательностей;
• phishery – простой HTTP-сервер с SSL для перехвата параметров аутенитфикации, также поддерживающий вставку URL для фишинга через документы в формате .docx;
• ssh-audit – утилита для аудита настроек SSH-сервера, определяющая поддерживаемые типы шифрования, режимы сжатия и т.п.
• apt2 (Automated Penetration Testing)– инструментарий для автоматизированной проверки защищённости систем, включающий собственный сканер уязвимостей;
• bloodhound – инструмент для выявления скрытых или непреднамеренных связей в Active Directory;
• crackmapexec – утилита для автоматизации изучения структуры больших сетей Active Directory;
• dbeaver – интерфейс для навигации по БД, поддерживающий MySQL, PostgreSQL, Oracle, SQLite и многие другие СУБД;
• brutespray – утилита для автоматизации проверки возможности подключения к сервису под типовыми учётными записями.

В новой версии также проведена работа по приведению в порядок примеров использования утилит, в которых иногда отмечались разночтения, вводящие в заблуждение новичков (например, для вызова утилиты smbmap следует использовать исполняемый файл smbmap, но в примерах советуют запускать несуществующий файл smbmap.py).

1. Главная ссылка к новости
2. OpenNews: Выпуск дистрибутива для исследования безопасности систем Kali Linux 2017.1
3. OpenNews: Доступно Android-окружение исследователя безопасности Kali NetHunter 3.0
4. OpenNews: Новый выпуск BlackArch, дистрибутива для тестирования безопасности
5. OpenNews: Выпуск дистрибутива Parrot 3.5 с подборкой программ для проверки безопасности
6. OpenNews: Выпуск BackBox Linux 4.6, дистрибутива для тестирования безопасности

CentOS Atomic Host является пересборкой продукта Red Hat Enterprise Linux Atomic Host RHEL 7.4, в свою очередь базирующегося на наработках свободного проекта Atomic. Об особенностях проекта можно прочитать в тексте прошлого анонса. Сборки CentOS Atomic Host доступны в форме установочного ISO, образов виртуальных машин Vagrant (Libvirt, VirtualBox), qcow2 (OpenStack, AWS, Libvirt) и AMI (Amazon Machine Image).

Наиболее значительным улучшением нового выпуска является включение поддержки многослойной файловой системы OverlayFS для организации выполнения нескольких разных контейнеров из одного образа (поверх общего слоя, доступного только на чтение, создаются специфичные для каждого контейнера слои). В том числе OverlayFS теперь может применяться совместно с SELinux. Из других изменений отмечается обновление версий компонентов atomic 1.18.1, cloud-init 0.7.9-9, docker 1.12.6, etcd 3.1.9, flannel 0.7.1, kubernetes-node 1.5.2, ostree 2017.7 и rpm-ostree-client 2017.6.

1. Главная ссылка к новости
2. OpenNews: Обновление CentOS Atomic Host, специализированной ОС для запуска контейнеров Docker
3. OpenNews: Компания Red Hat представила первый стабильный выпуск дистрибутива Atomic Host
4. OpenNews: Объявление о прекращении поддержки Scientific Linux 5, CentOS 5 и RHEL 5
5. OpenNews: Доступен Linux-дистрибутив CentOS 6.9
6. OpenNews: Доступен дистрибутив CentOS 7.1708, основанный на RHEL 7.4

• CVE-2017-12150 - возможность установки соединений без верификации по цифровой подписи в некоторых ситуациях, что позволяет вклинится в клиентское соединение через проведение MITM-атаки;
• CVE-2017-12151 - получение контроля над транзитным трафиком SMB3 через инициирование прекращения использования шифрования после выполнения DFS-редиректа;
• CVE-2017-12163 - клиент с правами записи может вызвать оседание отрывков памяти серверного процесса при записи в файл или выводе на печать при использовании протокола SMB1 с некорректными значениями диапазонов (range).

1. Главная ссылка к новости
2. OpenNews: Критическая уязвимость в Heimdal Kerberos, затрагивающая Samba 4
3. OpenNews: Уязвимость в Samba, позволяющая выполнить код на сервере
4. OpenNews: Обновление Samba 4.6.1, 4.5.7 и 4.4.12 с устранением уязвимости
5. OpenNews: Выпуск Samba 4.6.0
6. OpenNews: Уязвимость в Samba 4, которая может привести к удалённому выполнению кода

Основные новшества:

• Встроен интерфейс для просмотра свойств изображения и имеющихся метаданных, включая такие сведения как размер, дата создания, местоположение, программа в которой производилось редактирования, значение экспозиции, светочувствительности и других параметров камеры. Для просмотра информации в контекстном меню для изображения следует выбрать пункт "Свойства изображения";
• В боковую панель управления загрузками добавлен блок с информацией об имени файла, скорости загрузки, URL, целевом каталоге и времени окончания загрузки. Также обеспечена возможность сортировки элементов в списке загрузок по типу, в дополнение к имени, размеру, адресу и дате окончания загрузки;
• В настройки добавлен ползунок для корректировки насыщенности цвета, выбираемого для обрамления элементов интерфейса. Настройка может оказаться полезной в случае, если для сайта выбран слишком яркий цвет (цвет интерфейса меняется в зависимости от цветовой гаммы пиктограммы открытого сайта).
  
  

1. Главная ссылка к новости
2. OpenNews: Выпуск web-браузера Opera 47
3. OpenNews: Создатель JavaScript и бывший руководитель Mozilla представил новый браузер Brave
4. OpenNews: Выпуск web-браузера QupZilla 2.1
5. OpenNews: Выпуск браузера Otter 0.9.12, предлагающего интерфейс в стиле Opera 12
6. OpenNews: Выпуск web-браузера Chrome 61

Следующим шагом станет проведение адаптации открытой кодовой базы для предоставления возможности развертывания обособленного аналога сервиса на своём оборудовании. В настоящее время требуется проведение чистки кода от внешних зависимостей. Из планов на будущее также называется предоставление средств для создания объединённых систем, позволяющих обмениваться сообщениями между сетью Wire и системами, запущенными на собственных серверах.

Система обмена сообщениями Wire реализована на базе протокола Proteus и API Cryptobox, в которых применяются известные криптографические алгоритмы ChaCha20, HMAC-SHA256, Curve25519 и HKDF, реализация которых заимствована из библиотеки libsodium. В отличие от WhatsApp, Viber, Telegram и Signal, сервис Wire позволяет регистрироваться без привязки к номеру телефона и без анализа содержимого адресной книги - в качестве идентификатора для отправки сообщений в Wire служит email.

Основные компоненты серверной части:

• nginz - открытый API для обращения через Reverse Proxy;
• galley - организация общения;
• proxy - интеграция со сторонними API;
• brig - ведение учётных записей;
• gundeck - Push Notification Hub;
• cannon - система Push-уведомлений на основе WebSocket;
• cargohold - хранилище ресурсов;
• libs - набор вспомогательных разделяемых библиотек, включая API для ботов.

1. Главная ссылка к новости
2. OpenNews: Открыта часть серверного кода сервиса мгновенного обмена сообщениями Wire
3. OpenNews: Сервис мгновенного обмена сообщениями Wire объявил о скором открытии серверного кода
4. OpenNews: В клиенте для мгновенного обмена сообщениями Wire появилась поддержка Linux
5. OpenNews: Четвёртый тестовый выпуск системы мгновенного обмена сообщениями от проекта Tor
6. OpenNews: Открыт код сервиса мгновенного обмена сообщениями Gitter

В том числе, совместно с разрабатывающей смартфон компанией Purism, планируется организовать серию встреч разработчиков, принять участие в разработке инструментария и эмулятора, адаптировать GNOME Shell для работы на смартфонах и провести оптимизацию производительности.

1. Главная ссылка к новости
2. OpenNews: Адаптация Plasma Mobile для смартфона Librem 5
3. OpenNews: Компания Purism намерена выпустить смартфон Librem 5 на базе СПО и Linux
4. OpenNews: Ноутбук Purism Librem 13 будут поставляться с операционной системой Qubes
5. OpenNews: Проект Qubes выступил с новой инициативой сертификации безопасных ноутбуков
6. OpenNews: Успешно собраны средства для производства ноутбука Librem, отвечающего требованиям Фонда СПО

В отличие от прошлых выпусков в Swift 4.0 сохранена полная обратная совместимость с исходными текстами ветки Swift 3. Изменения в Swift 4.0 сосредоточены на расширении возможностей стандартной библиотеки и реализации таких возможностей, как архивирование/сериализация структур и перечисляемых типов (например, теперь поддерживается сериализация в JSON и plist). В состав включена новая реализация типа String, которая отличается более высокой производительностью, обеспечением корректности Unicode и предоставлением инструментов для создания, использования и манипуляций подстроками (substring, многострочные литералы). Расширены возможности словарей и коллекций (тип Collection).

Представлена новая команда "swift run" для сборки и запуска исполняемых файлов, определённых в текущем пакете. Реализована идея эксклюзивного доступа к памяти, предотвращающая ситуации, когда может быть произведено изменение переменой, которая в данный момент используется или изменяется в другой части программы. Расширены возможности пакетного менеджера, в который добавлена функциональность, упрощающая одновременную разработку нескольких пакетов (несколько пакетов одновременно могут помечаться для релиза), представлен новый Package API, позволяющий управлять настройками сборки.

Напомним, что язык Swift наследует лучшие элементы языков C и Objective-C, и предоставляет объектную модель, совместимую с Objective-C (Swift-код может смешиваться с кодом на С и Objective-C), но отличается использованием средств автоматического распределения памяти и контроля переполнения переменных и массивов, что значительно увеличивает надёжность и безопасность кода. Swift также предлагает множество современных методов программирования, таких как замыкания, обобщенное программирование, лямбда-выражения, кортежи и словарные типы, быстрые операции над коллекциями, элементы функционального программирования. Версия для Linux не привязана к Objective-C Runtime, что позволяет использовать язык в окружениях, в которых отсутствует поддержка Objective-C.

Pеализация Swift построена с задействованием технологий свободного проекта LLVM. Для обеспечения высокой производительности Swift-программы компилируются в машинный код, выполняемый в тестах Apple на 30% быстрее кода на Objective-C. Вместо сборщика мусора в Swift используются средства подсчёта ссылок на объекты. В поставку входит пакетный менеджер Swift Package Manager, предоставляющий средства для распространения модулей и пакетов с библиотеками и приложениями на языке Swift, управления зависимостями, автоматизированной загрузки, сборки и связывания компонентов.

1. Главная ссылка к новости
2. OpenNews: Создатель LLVM и Swift уходит из компании Apple
3. OpenNews: Компания Apple представила язык программирования Swift 3.0
4. OpenNews: В язык Swift добавлена начальная поддержка платформы Android
5. OpenNews: Компания Apple представила Swift 2.2, первый выпуск с поддержкой Linux
6. OpenNews: Компания Apple открыла реализацию языка Swift и реализовала поддержку Linux

Для тестирования подверженности своих систем проблеме подготовлен прототип эксплоита. Проблема актуальна только для систем хостинга, на которых размещаются сайты разных пользователей, так как для атаки требуется изменение настроек через файл .htaccess. В частности, утечка данных из памяти возникает при выполнении запроса OPTIONS, если в директиве Limit задано ограничение для несуществующего или незарегистрированного HTTP-метода. В этом случае при выполнении запроса OPTIONS отдаётся содержимое уже освобождённого блока памяти, в котором могут находиться конфиденциальные данные от выполнения прошлых запросов.

Несмотря на специфичные условия проявления проблемы сканирование миллиона крупнейших сайтов по рейтингу Alexa выявило 466 проблемных хостов, в которых при имеющихся настройках происходит утечка данных. При этом, по заявлению разработчиков Apache, риск от данной уязвимости незначителен, так как можно получить лишь значение нескольких лишних байтов памяти. Исправление пока доступно в виде патча (для ветки 2.2, для ветки 2.4).

Дополнительно можно отметить выявление уязвимости (CVE-2017-12615) в Apache Tomcat 7.x, открытой реализации технологий Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Проблема позволяет загрузить на сервер JSP-файл через специально оформленный запрос HTTP PUT и затем выполнить его с правами серверного процесса. Проблема проявляется только на платформе Windows при включении метода HTTP PUT. Также сообщается об ещё одной уязвимости (CVE-2017-12616), которая может привести к просмотру кода размещённых на сервере JSP-файлов, если данные файлы упоминаются в настройках директивы VirtualDirContext. Проблемы устранены в выпуске Apache Tomcat 7.0.81.

1. Главная ссылка к новости
2. OpenNews: Проблемы в systemd и Apache httpd при обработке DNS-имён с символом подчёркивания
3. OpenNews: Выпуск http-серверов Apache 2.4.27, nginx 1.13.3 и 1.12.1
4. OpenNews: Выпуск http-сервера Apache 2.4.26 с полноценной поддержкой HTTP/2
5. OpenNews: DoS-уязвимость в mod_http2 из состава http-сервера Apache
6. OpenNews: Опасная уязвимость в Apache Tomcat

Также можно отметить поддерживаемый одним из сотрудников Google репозиторий clang-kernel-build и ветку в репозитории проекта Chromium с инструкциями и патчами для сборки ядра Linux 4.13 с использованием Clang.

1. Главная ссылка к новости
2. OpenNews: На базе Sparse создан LLVM-бэкенд, нацеленный на пересборку ядра Linux
3. OpenNews: В Clang доведена до готовности поддержка стандарта C++11 и приняты патчи для пересборки ядра Linux
4. OpenNews: Анонсирован проект LLVMLinux, нацеленный на обеспечение сборки ядра Linux при помощи Clang
5. OpenNews: Продемонстрирован запуск openSUSE с ядром Linux, собранным при помощи Clang
6. OpenNews: В Clang обеспечена возможность сборки Linux-ядра 2.6.36

1. Главная ссылка к новости
2. OpenNews: Red Hat представил проект AWX, в рамках которого открыт код Ansible Tower
3. OpenNews: Google открыл Chrome для iOS и планирует открыть Google Earth Enterprise
4. OpenNews: Уязвимость, позволяющая осуществить подстановку SQL-кода в GitHub Enterprise

Изначально проект развивался одним из создателей фреймворка GStreamer под именами PulseVideo и Pinos (в честь испанского города), но позднее было выбрано более подходящее имя. PipeWire расширяет область применения PulseAudio обработкой любых мультимедийных потоков и способен смешивать и перенаправлять потоки с видео. PipeWire также предоставляет возможности для управления источниками видео, такими как устройства захвата видео, web-камеры или выводимое приложениями содержимое экрана. Например, PipeWire позволяет организовать совместную работу нескольких приложений с веб-камерой и решает проблемы с безопасным захватом содержимого экрана и удалённым доступом к экрану в окружении Wayland.

PipeWire также может выступать в роли звукового сервера, обеспечивающего минимальные задержки и предоставляющего функциональность комбинирующую возможности PulseAudio и JACK, в том числе учитывающую потребности систем профессиональной обработки звука, на которую не мог претендовать PulseAudio. Кроме того, PipeWire предлагает расширенную модель безопасности, позволяющую управлять доступом на уровне отдельных устройств и конкретных потоков, и упрощающую организацию проброса звука и видео из изолированных контейнеров и в них. Одной из главных целей является поддержка самодостаточных приложений в формате Flatpak и работа в графическом стеке на базе Wayland.

Основные возможности:

• Захват и воспроизведение звука и видео с минимальными задержками;
• Средства для обработки видео и звука в режиме реального времени;
• Многопроцессная архитектура, позволяющая организовать совместный доступ к контенту нескольких приложений;
• Модель обработки на основании графа мультимедийных узлов с поддержкой циклов обратной связи и атомарных обновлений графа. Допускается подключение обработчиков как внутри сервера, так и внешних плагинов;
• Эффективный интерфейс доступа к видеопотокам через передачу файловых дескрипторов и доступа к звуку через совместно используемые кольцевые буферы (shared ringbuffer);
• Возможность обработки мультимедийных данных от любых процессов;
• Наличие плагина к GStreamer для упрощения интеграции с существующими приложениями;
• Поддержка изолированных окружений и Flatpak;
• Поддержка плагинов в формате SPA (Simple Plugin API) и возможность создания плагинов, работающих в режиме жесткого реального времени;
• Гибкая система согласования используемых мультимедийных форматов и выделения буферов;
• Использование одного фонового процесса для маршрутизации звука и видео. Возможность работы в форме звукового сервера, хаба для предоставления видео приложениям (например, для gnome-shell screencast API) и сервера для управления доступом к аппаратным устройствам захвата видео.

1. Главная ссылка к новости
2. OpenNews: Выпуск мультимедийного фреймворка GStreamer 1.12
3. OpenNews: Причина прекращения поддержки звуковой системы ALSA в Firefox
4. OpenNews: Выпуск звукового сервера PulseAudio 11.0
5. OpenNews: Разработчики Fedora представили Pinos, аналог PulseAudio для видео

Проблемы начались после того, как автор плагина, заинтересованный в развитии коммерческого аналога, продал "Display Widgets" другому разработчику, который обещал продолжить сопровождение плагина. 21 июня, спустя месяц после завершения сделки, новым владельцем было выпущено обновление 2.6.0, в котором была представлена поддержка средств для определения местоположения по базе GeoIP.

На следующий день после релиза к администраторам каталога плагинов WordPress поступила жалоба о нарушении требований к размещаемым в каталоге дополнениям. В частности, было выявлено, что плагин загружает около 38 Мб данных, содержащих информацию о географической привязке IP-адресов от компании Maxmind. После удаления дополнения из каталога, через неделю новый владелец плагина выпустил обновление, в котором устранил проблему путём интеграции GeoIP БД в основную поставку в виде виде файла geolocation.php. Дополнение было восстановлено в каталоге.

После изучения нового кода вновь было найдено нарушение правил - плагин передавал сведения о посетителях на внешний сервер, нарушая конфиденциальность пользователей. 1 июля дополнение было блокировано второй раз, а 6 июля был выпущен релиз 2.6.2 с активной по умолчанию опцией для отключения отправки логов. Дополнение было восстановлено, но 23 июля стали поступать жалобы о появлении спама на сайтах с плагином "Display Widgets", подтверждённые ссылками на кэш Google.

Разбор проблем показал, что источником спама является файл geolocation.php, в котором оказался спрятан бэкдор, позволяющий владельцам плагина публиковать новый контент на сайтах пользователей, а также заменять или удалять содержимое страниц. При этом для зарегистрированных пользователей и администраторов вредоносный код отображал изначальное содержимое, а для остальных пользователей выводил изменённый контент. Вредоносный код использовался для подстановки сторонней рекламы, незаметно для постоянных пользователей и администраторов сайтов. 24 июля дополнение в третий раз было заблокировано.

2 сентября был сформирован релиз 2.6.3, а 7 сентября возобновились жалобы на появление спама на сайтах пользователей плагина. На жалобы пользователей разработчики отвечали советом почистить кэш браузера, установить новую версию "Display Widgets" и почистить содержимое таблицы wp_options. Разработчики также пытались ввести пользователей в заблуждение, указывая в качестве причины появления спама наличие уязвимости, проявляющейся только при включении режима GEO Location в сочетании с применением других дополнений.

В итоге в новой версии также был выявлен изменённый бэкдор и 8 сентября администрация WordPress в четвёртый раз заблокировала "Display Widgets" с предупреждением о наличии критических проблем с безопасностью, а для пользователей было сформировано обновление 2.7.0 в котором произведён откат на кодовую базу 2.0.5, последнюю версию до продажи.

Стефани Велс (Stephanie Wells), изначальный автор дополнения, прокомментировала, что дополнение было продано Мэйсону Сойза (Mason Soiza) за 15 тысяч долларов, который представлял компанию WP Devs, заявляющую о владении 34 плагинами c аудиторией более 10 млн пользователей. Примечательно, что ранее наблюдалась аналогичная ситуация со спамом в плагине "404 to 301", который тоже купил Сойза. Также была договорённость о покупке плагина Finance Calculator, но его автор отменил сделку, узнав об инциденте с "Display Widgets". Об остальных плагинах, купленных Сойза, пока ничего не известно. Из хостов, с которых загружался вредоносный код упоминаются stopspam.io, w-p.io, geoip2.io и maxmind.io.

1. Главная ссылка к новости
2. OpenNews: Создатель вредоносного ПО блокировал отчёт о проблеме под предлогом нарушения авторских прав
3. OpenNews: Фишинг-атака по захвату браузерных дополнений для встраивания в них вредоносного кода
4. OpenNews: Chrome-дополнение Particle было выкуплено у автора и превращено во вредоносное ПО
5. OpenNews: Зафиксирована скупка популярных браузерных дополнений для распространения вредоносного кода
6. OpenNews: В рекламных сетях выявлено вредоносное ПО, скрытое в графических баннерах