Marak Squires, forfatteren af de populære pakker colors (node.js konsolfarver) og faker (en generator til falske data til inputfelter), som har henholdsvis 2,8 og 25 millioner ugentlige downloads, har lagt nye versioner af sine produkter i NPM-repositoriet og på GitHub, som omfatter destruktive ændringer, der målrettet fører til nedbrud under opbygning og udførelse af afhængige projekter. Som følge af Maraks handlinger er mange projekters drift blevet forstyrret, herunder AWS CDK, som bruger de nævnte biblioteker — colors-biblioteket anvendes som en afhængighed i 18953 projekter, mens faker anvendes i 2571.
I koden til biblioteket 'colors' blev der tilføjet en konsoludskrift af teksten 'LIBERTY LIBERTY LIBERTY' og en uendelig løkke, der blokerer arbejdet i afhængige projekter og genererer en strøm af forvrængede ord 'tesing'. Indholdet af repository’en i faker blev fjernet, og i commit'en 'endgame' blev .gitignore- og .npmignore-filer tilføjet for at ekskludere projektfiler, mens indholdet af README-filen blev erstattet med spørgsmålet 'Hvad skete der egentligt med Aaron Schwartz'. Problemerne findes i versionerne colors 1.4.1+ og faker 6.6.6.
Som svar på de udførte handlinger har GitHub blokeret Maraks adgang til sine repositorier (90 offentlige + flere private), mens NPM har rullet den skadelige version af pakken tilbage. Spørgsmålet om lovligheden af GitHubs handlinger rejser dog bekymringer, idet en udviklers sletning af kode fra et af sine egne repositorier ikke kan betragtes som en overtrædelse af tjenestens regler. Desuden er det i licensteksten til pakkerne colors og faker tydeligt angivet, at der ikke gives nogen garantier eller forpligtelser vedrørende kodeens funktionalitet.
Interessant nok blev den første advarsel om ophør af udviklingen offentliggjort for over et år siden. I september 2020 mistede Marak alle sine ejendele i en brand, hvorefter han i begyndelsen af november i ultimativ form opfordrede kommercielle virksomheder, som bruger hans projekter, til at finansiere fortsat udvikling; ellers lovede han at stoppe med at vedligeholde dem, da han ikke længere ønskede at arbejde gratis. Inden hændelsen blev den sidste version af colors udgivet for to år siden, mens faker sidst blev opdateret for ni måneder siden.
Når det kommer til motiverne bag at indføre destruktive ændringer i pakkerne, forsøger Marak sandsynligvis at give en lektion til de virksomheder, der udnytter arbejdet fra udviklerfællesskabet inden for open source, men ikke giver noget tilbage, eller at tiltrække opmærksomhed til genovervejelsen af omstændighederne omkring Aaron Swartz' død. Aaron begik selvmord efter, at der var blevet rejst en straffesag mod ham, relateret til kopiering af videnskabelige artikler fra den betalte database JSTOR, hvor han kæmpede for ideen om frit adgang til videnskabelige publikationer. Aaron blev anklaget for computerbedrageri og ulovlig adgang til information fra en beskyttet computer, hvilket kunne give op til 50 års fængsel og en bøde på en million dollars (hvis der blev indgået et retsforlig og han tilstod anklagerne, ville Aaron skulle sidde 6 måneder i fængsel).
Det anses for, at Aaron under pres fra retssystemet og uretfærdigheden af anklagerne, ikke kunne holde til det pressende pres på grund af sin depression (han kunne risikere 50 års fængsel bare for at have downloaded indholdet af databasen med videnskabelige artikler, som han mente skulle være frit tilgængeligt). Marak Squires antyder i et offentliggjort indlæg, der erstattede den slettede kode om Aarons død, og i en Twitter-post, en ubegrundet konspirationsteori, ifølge hvilken Aaron Swartz fandt nogle dokumenter i MIT’s arkiv, der kunne skade visse vigtige personer, og at han blev dræbt for dette, maskeret som selvmord (i morgen er det 9 år siden, Aaron gik bort).
Kilde: opennet.ru
