বিকাশকারী 20 হাজার প্রকল্পে ব্যবহৃত রঙ এবং নকল NPM প্যাকেজগুলিতে ধ্বংসাত্মক পরিবর্তন করেছে

Marak Squires, জনপ্রিয় রঙের লেখক (node.js কনসোল কালারাইজেশন) এবং ফেকার (ইনপুট ক্ষেত্রের জন্য নকল ডেটা জেনারেটর) প্যাকেজ, 2.8 মিলিয়ন এবং 25 মিলিয়ন সাপ্তাহিক ডাউনলোড সহ, NPM সংগ্রহস্থলে এবং GitHub-এ তার পণ্যগুলির নতুন সংস্করণ পোস্ট করেছেন , ধ্বংসাত্মক পরিবর্তনগুলি সহ যা উদ্দেশ্যমূলকভাবে সমাবেশ এবং নির্ভরশীল প্রকল্পগুলি সম্পাদনের পর্যায়ে ব্যর্থতার দিকে নিয়ে যায়। মারাকের ক্রিয়াকলাপের ফলস্বরূপ, নির্দিষ্ট লাইব্রেরি ব্যবহার করে AWS CDK সহ অনেক প্রকল্পের কাজ ব্যাহত হয়েছিল - 18953টি প্রকল্পে কালার লাইব্রেরি নির্ভরতা হিসাবে ব্যবহৃত হয় এবং 2571টিতে ফেকার ব্যবহার করা হয়।

"রঙ" লাইব্রেরি কোডে, পাঠ্যের কনসোল আউটপুট "লিবার্টি লিবার্টি লিবার্টি" এবং একটি অসীম লুপ যোগ করা হয়েছিল, যা নির্ভরশীল প্রকল্পগুলির কাজকে অবরুদ্ধ করে এবং বিকৃত শব্দ "টেসিং" এর একটি স্ট্রিম আউটপুট করে। জাল লাইব্রেরি রিপোজিটরির বিষয়বস্তু সরিয়ে দিয়েছে, .gitignore এবং .npmignore ফাইলগুলিকে "এন্ডগেম" প্রকল্পের ফাইলগুলি বাদ দেওয়ার প্রতিশ্রুতিতে যোগ করেছে এবং README ফাইলের বিষয়বস্তুগুলিকে "আরন সোয়ার্টজের সাথে সত্যিই কী ঘটেছে" প্রশ্ন দিয়ে প্রতিস্থাপিত করেছে। 1.4.1+ এবং ফেকার 6.6.6 সংস্করণে সমস্যা রয়েছে।

এই ক্রিয়াকলাপের প্রতিক্রিয়া হিসাবে, গিটহাব তার সংগ্রহস্থলগুলিতে মারাকের অ্যাক্সেস অবরুদ্ধ করে (90 জন সর্বজনীন + বেশ কয়েকটি ব্যক্তিগত), এবং NPM প্যাকেজের ক্ষতিকারক সংস্করণটি ফিরিয়ে দেয়। একই সময়ে, GitHub-এর ক্রিয়াকলাপের বৈধতা প্রশ্ন উত্থাপন করে, যেহেতু কোনও বিকাশকারীর দ্বারা তার সংগ্রহস্থলগুলির একটি থেকে কোড অপসারণকে পরিষেবার নিয়মগুলির লঙ্ঘন হিসাবে বিবেচনা করা যায় না। তাছাড়া, রঙ এবং জাল প্যাকেজের লাইসেন্সের পাঠ্য স্পষ্টভাবে বলে যে কোডের কার্যকারিতা সম্পর্কে কোন গ্যারান্টি বা বাধ্যবাধকতা নেই।

মজার বিষয় হল, উন্নয়ন বন্ধের বিষয়ে প্রথম সতর্কবার্তা প্রকাশিত হয়েছিল এক বছরেরও বেশি আগে। 2020 সালের সেপ্টেম্বরে, মারাক আগুনের কারণে তার সমস্ত সম্পত্তি হারিয়ে ফেলেন, তারপরে নভেম্বরের শুরুতে, একটি আল্টিমেটাম আকারে, তিনি বাণিজ্যিক সংস্থাগুলিকে তার প্রকল্পগুলি ব্যবহার করে উন্নয়নের ধারাবাহিকতায় অর্থায়ন করার আহ্বান জানান, অন্যথায় তিনি তাকে সমর্থন করা বন্ধ করার প্রতিশ্রুতি দিয়েছিলেন, যেহেতু তিনি আর বিনামূল্যে কাজ করতে চান না। ঘটনার আগে, রঙের সর্বশেষ সংস্করণটি দুই বছর আগে প্রকাশিত হয়েছিল, এবং ফেকারটি 9 মাস আগে প্রকাশিত হয়েছিল।

প্যাকেজগুলিতে ধ্বংসাত্মক পরিবর্তন করার জন্য তার উদ্দেশ্যগুলির জন্য, মারাক সম্ভবত এমন কর্পোরেশনগুলিকে একটি পাঠ শেখানোর চেষ্টা করছেন যারা বিনিময়ে কিছু ফিরিয়ে না দিয়ে বিনামূল্যে সফ্টওয়্যার সম্প্রদায়ের কাজ থেকে উপকৃত হয়, বা মৃত্যুর পরিস্থিতি পুনর্বিবেচনার দিকে দৃষ্টি আকর্ষণ করার চেষ্টা করছেন। অ্যারন সোয়ার্টজ। পেইড ডাটাবেস JSTOR থেকে বৈজ্ঞানিক নিবন্ধগুলি অনুলিপি করার জন্য তার বিরুদ্ধে একটি ফৌজদারি মামলা আনার পরে অ্যারন আত্মহত্যা করেছিলেন, বৈজ্ঞানিক প্রকাশনাগুলিতে বিনামূল্যে অ্যাক্সেস দেওয়ার ধারণাকে রক্ষা করেছিলেন। অ্যারনের বিরুদ্ধে কম্পিউটার জালিয়াতি এবং একটি সুরক্ষিত কম্পিউটার থেকে অবৈধভাবে তথ্য পাওয়ার অভিযোগ আনা হয়েছিল, যার জন্য সর্বোচ্চ শাস্তি ছিল 50 বছরের কারাদণ্ড এবং এক মিলিয়ন ডলার জরিমানা (যদি একটি আদালতের চুক্তিতে পৌঁছানো হয় এবং অভিযোগগুলি স্বীকার করা হয়, তাহলে অ্যারনকে পরিবেশন করতে হবে। 6 মাসের জেল)।

এটা বিশ্বাস করা হয় যে হারুন, হতাশার মধ্যে, বিচার ব্যবস্থার চাপ এবং সামনে আনা অভিযোগের অবিচার সহ্য করতে পারেনি (শুধুমাত্র বৈজ্ঞানিক নিবন্ধগুলির একটি ডাটাবেসের বিষয়বস্তু ডাউনলোড করার জন্য তাকে 50 বছরের কারাদণ্ডের সম্মুখীন হতে হয়েছিল, যা তার মতে সীমাবদ্ধতা ছাড়াই বিতরণ করা উচিত)। মারাক স্কোয়ারস, একটি মুছে ফেলা কোডের পরিবর্তে পোস্ট করা হারুনের মৃত্যু সম্পর্কে একটি প্রশ্নে এবং টুইটারে একটি পোস্টে, একটি অপ্রমাণিত ষড়যন্ত্র তত্ত্বের ইঙ্গিত দিয়েছেন, যে অনুসারে অ্যারন সোয়ার্টজ এমআইটি সংরক্ষণাগারে কিছু নথি খুঁজে পেয়েছেন যা কিছু গুরুত্বপূর্ণ ব্যক্তিকে অসম্মান করেছিল এবং তিনি ছিলেন এর জন্য হত্যা করা হয়েছে। আসন্নকে আত্মহত্যা বলে ছদ্মবেশ ধারণ করে (আগামীকাল হারুন মারা যাওয়ার 9 বছর হবে)।

উত্স: opennet.ru