Марак Сквайрс (Marak Squires), автор на популярни пакети colors (оцветяване на конзолата node.js) и faker (генератор на фиктивни данни за входни полета), който има 2.8 и 25 милиона седмични изтегляния, публикува в репозитория NPM и на GitHub нови версии на своите продукти, които включват разрушителни промени, целенасочено водещи до сривове по време на компилирането и изпълнението на зависимите проекти. В резултат на действията на Марак, работата на много проекти, включително AWS CDK, които използват посочените библиотеки, беше нарушена — библиотеката colors се използва като зависимост в 18953 проекта, а faker — в 2571.
В кода на библиотеката «colors» беше добавен изход в конзолата с текста «LIBERTY LIBERTY LIBERTY» и безкраен цикъл, блокиращ работата на зависимите проекти и извеждащ поток от изкривени думи «tesing». В библиотеката faker съдържанието на репозитория беше премахнато, в комита «endgame» бяха добавени файлове .gitignore и .npmignore за изключване на файловете на проекта, а вместо съдържанието на файла README беше поставен въпросът «Какво всъщност се случи с Аарън Шварц». Проблемите са налични в версиите colors 1.4.1+ и faker 6.6.6.
В отговор на предприетите действия GitHub блокира достъпа на Марак до своите репозитории (90 публични + няколко частни), а NPM откати зловредната версия на пакета. Въпреки това, законността на действията на GitHub повдига въпроси, тъй като изтриването на код от разработчика от един от неговите репозитории не може да се разглежда като нарушение на правилата на услугата. По-важното е, че в текста на лиценза на пакетите colors и faker е ясно посочено, че отсъстват каквито и да било гаранции и задължения относно работоспособността на кода.
Интересно е, че първото предупреждение за прекратяване на разработката беше публикувано повече от година преди това. През септември 2020 г. Марак изгуби всичкото си имущество заради пожар, след което в началото на ноември в ултимативна форма призова търговските компании, използващи неговите проекти, да финансират продължаването на разработката, в противен случай той обеща да спре поддръжката, тъй като не възнамерява да работи повече безплатно. Преди инцидента последната версия на colors беше пусната преди две години, а faker — преди девет месеца.
Що се отнася до мотивите за въвеждане на разрушителни промени в пакетите, вероятно Марак се опитва да даде урок на корпорациите, които се възползват от труда на общността от разработчици на свободен софтуер, но не дават нищо в замяна, или да привлече вниманието към преосмислянето на обстоятелствата на смъртта на Аарън Шварц. Аарън сложи край на живота си след обвинение, повдигнато срещу него, свързано с копирането на научни статии от платена база данни JSTOR, отстоявайки идеята за предоставяне на свободен достъп до научни публикации. Аарън бе обвинен в компютърно измамничество и незаконно получаване на информация от защитен компютър, което носеше максимално наказание от 50 години лишаване от свобода и глоба от един милион долара (в случай на съдебно споразумение и признаване на вината, Аарън щеше да прекара 6 месеца в затвора).
Счита се, че Аарън, изпаднал в депресия, не е издържал натиска на съдебната система и несправедливостта на обвиненията (му заплашваха 50 години затвор само за това, че е изтеглил съдържанието на базата данни с научни статии, които според него трябва да се разпространяват без ограничения). Марак Сквайрс в публикувания вместо изтрит код въпрос относно смъртта на Аарън и в публикацията в Twitter намеква за непотвърдена конспиративна теория, според която Аарън Шварц е намерил в архива на MIT някакви документи, които компрометират определени важни личности, и за това е бил убит, маскирайки случилото се като самоубийство (утре ще минат 9 години от как Аарън напусна живота).
Източник: opennet.ru
