Разработчикът направи разрушителни промени в цветовете и фалшивите NPM пакети, използвани в 20 хиляди проекта

Марак Скуайърс, автор на пакетите популярни цветове (оцветяване на конзолата node.js) и faker (генератор на фалшиви данни за полета за въвеждане), с 2.8 милиона и 25 милиона изтегляния седмично, публикува нови версии на своите продукти в хранилището на NPM и в GitHub , включително деструктивни промени, които целенасочено водят до провали на етапа на сглобяване и изпълнение на зависими проекти. В резултат на действията на Marak работата на много проекти, включително AWS CDK, използващи посочените библиотеки, беше нарушена - библиотеката с цветове се използва като зависимост в 18953 2571 проекта, а faker се използва в XNUMX XNUMX.

В кода на библиотеката "colors" бяха добавени конзолен изход на текста "LIBERTY LIBERTY LIBERTY" и безкраен цикъл, блокирайки работата на зависими проекти и извеждайки поток от изкривени думи "tesing". Фалшивата библиотека премахна съдържанието на хранилището, добави файлове .gitignore и .npmignore към ангажимента "endgame", за да изключи файловете на проекта, и замени съдържанието на файла README с въпроса "Какво наистина се случи с Aaron Swartz." Проблеми има във версии цветове 1.4.1+ и faker 6.6.6.

В отговор на тези действия GitHub блокира достъпа на Marak до своите хранилища (90 публични + няколко частни), а NPM върна злонамерената версия на пакета. В същото време законността на действията на GitHub повдига въпроси, тъй като премахването на код от разработчик от едно от неговите хранилища не може да се счита за нарушение на правилата на услугата. Освен това текстът на лиценза за цветовете и фалшивите пакети ясно посочва, че няма гаранции или задължения по отношение на функционалността на кода.

Интересното е, че първото предупреждение за спиране на разработката беше публикувано преди повече от година. През септември 2020 г. Марак загуби цялото си имущество поради пожар, след което в началото на ноември, под формата на ултиматум, той призова търговските компании, използващи неговите проекти, да финансират продължаването на развитието, в противен случай той обеща да спре да го подкрепя, тъй като вече няма намерение да работи безплатно. Преди инцидента последната версия на цветовете беше пусната преди две години, а faker беше пуснат преди 9 месеца.

Що се отнася до мотивите му да прави разрушителни промени в пакетите, Марак вероятно се опитва да даде урок на корпорациите, които се възползват от работата на общността на свободния софтуер, без да връщат нищо в замяна, или да привлече вниманието към преосмисляне на обстоятелствата на смъртта на Арън Суорц. Арън се самоуби, след като срещу него беше заведено наказателно дело, свързано с копиране на научни статии от платената база данни JSTOR, защитавайки идеята за предоставяне на безплатен достъп до научни публикации. Арън беше обвинен в компютърна измама и незаконно получаване на информация от защитен компютър, максималното наказание за което беше 50 години затвор и глоба от един милион долара (ако бъде постигнато съдебно споразумение и обвиненията бъдат признати, Арън ще трябва да служи 6 месеца затвор).

Смята се, че Арън, изпаднал в депресия, не е могъл да издържи на натиска на съдебната система и несправедливостта на повдигнатите обвинения (той беше изправен пред 50 години затвор само за изтегляне на съдържанието на база данни с научни статии, които според него трябва да се разпространява без ограничения). Марак Скуайърс, във въпрос за смъртта на Аарон, публикуван вместо изтрит код и в публикация в Twitter, намеква за непотвърдена теория на конспирацията, според която Аарон Суорц е намерил някои документи в архивите на MIT, които дискредитират определени важни хора, и той е бил убит за това.маскирайки идването като самоубийство (утре се навършват 9 години от смъртта на Арън).

Източник: opennet.ru