Разработчикът внесъл разрушителни изменения в NPM пакетите colors и faker, използвани в 20 хиляди проекта

Марак Сквайрс (Marak Squires), автор на популярните пакети colors (оцветяване на конзолата node.js) и faker (генератор на фиктивни данни за входни полета), които имат по 2.8 и 25 млн. седмични сваляния, публикува нови версии на своите продукти в репозитория NPM и на GitHub, съдържащи разрушителни промени, целящи да предизвикат сривове при компилиране и изпълнение на зависими проекти. В резултат на действията на Марак, много проекти, включително AWS CDK, използващи цитирани библиотеки, бяха нарушени — библиотеката colors е зависимост на 18953 проекта, а faker — на 2571.

В кода на библиотеката «colors» беше добавено извеждането в конзолата на текста «LIBERTY LIBERTY LIBERTY» и безкраен цикъл, блокиращ работата на зависимите проекти и генериращ поток от изкривени думи «tesing». В библиотеката faker, съдържанието на репозитория беше премахнато, в комита «endgame» бяха добавени файлове .gitignore и .npmignore, за да се изключат файлове от проекта, а на мястото на съдържанието на файла README беше поставен въпросът «Какво всъщност се случи с Аарън Шварц». Проблемите са налични в версиите colors 1.4.1+ и faker 6.6.6.

В отговор на извършените действия, GitHub блокира достъпа на Марак до своите репозитории (90 публични + няколко частни), а NPM върна злонамерената версия на пакета. В същото време законността на действията на GitHub остава под въпрос, тъй като премахването на код от един от своите репозитории от разработчика не може да се счита за нарушаване на правилата на услугата. Повече от това, в текста на лиценза за пакетите colors и faker е ясно посочено, че няма никакви гаранции и задължения относно работоспособността на кода.

Интересно е, че първото предупреждение за прекратяване на разработката беше публикувано преди повече от година. През септември 2020 година, Марак загуби всичкото си имущество заради пожар, след което в началото на ноември по ултимативен начин призова търговските компании, използващи неговите проекти, да финансират продължаването на разработката, в противен случай обеща да спре поддръжката, тъй като не възнамерява повече да работи безплатно. Преди инцидента последната версия на colors беше издадена преди две години, а на faker — преди девет месеца.

Що се отнася до мотивите за въвеждане на разрушителни промени в пакетите, вероятно Марак се опитва да даде урок на корпорациите, които се възползват от труда на общността разработчици на свободен софтуер, но не връщат нищо в замяна, или да привлече вниманието към преосмислянето на обстоятелствата около смъртта на Аарън Шварц. Аарън си отиде след повдигането на обвинение срещу него, свързано с копирането на научни статии от платена база данни JSTOR, отстоявайки идеята за предоставяне на свободен достъп до научни публикации. Аарън беше обвинен в компютърно измамничество и незаконно получаване на информация от защитен компютър, максималната присъда по които можеше да е 50 години лишаване от свобода и глоба от един милион долара (в случай на съдебно споразумение и признаване на обвиненията, Аарън щеше да излежи 6 месеца в затвора).

Смята се, че Аарън, борещ се с депресия, не е издържал на натиска от съдебната система и несправедливостта на повдигнатите обвинения (за него беше предвидено 50 години затвор само защото е изтеглил съдържанието на базата данни с научни статии, които според него трябва да се разпространяват без ограничения). Марак Сквайрс в публикувания вместо изтегления код въпрос относно смъртта на Аарън и в публикацията в Twitter намеква за непотвърдена конспиративна теория, съгласно която Аарън Шварц е открил в архива на MIT определени документи, компрометиращи важни личности, и е бил убит за това, загатвайки, че смъртта му е маскирана като самоубийство (утре ще се проведе 9 години от както Аарън си отиде от живота).

Източник: opennet.ru