Marak Squires, der Autor der beliebten Pakete colors (Farbgebung für die Node.js-Konsole) und faker (Generator für Dummy-Daten zur Eingabe), die wöchentlich 2,8 und 25 Millionen Downloads verzeichnen, veröffentlichte neue Versionen seiner Produkte im NPM-Repository und auf GitHub, die destruktive Änderungen enthalten, die absichtlich zu Fehlern während der Kompilierung und Ausführung abhängiger Projekte führen. Infolgedessen wurde die Funktionalität vieler Projekte, darunter AWS CDK, die diese Bibliotheken verwenden, beeinträchtigt – die colors-Bibliothek wird als Abhängigkeit in 18.953 Projekten verwendet, während faker in 2.571 verwendet wird.
In den Code der Bibliothek 'colors' wurde die Konsolenausgabe 'LIBERTY LIBERTY LIBERTY' und eine Endlosschleife hinzugefügt, die die Arbeit abhängiger Projekte blockiert und einen Strom von verzerrten Wörtern 'tesing' ausgibt. In der Bibliothek faker wurde der Inhalt des Repositories gelöscht, im Commit 'endgame' wurden .gitignore- und .npmignore-Dateien hinzugefügt, um Projektdateien auszuschließen, und anstelle des Inhalts der README-Datei wurde die Frage 'Was ist wirklich mit Aaron Schwartz passiert?' platziert. Die Probleme sind in den Versionen colors 1.4.1+ und faker 6.6.6 vorhanden.
Als Reaktion auf die getätigten Aktionen hat GitHub Maraks Zugriff auf seine Repositories (90 öffentliche + mehrere private) gesperrt, während NPM die schädliche Version des Pakets zurückgesetzt hat. Die Rechtmäßigkeit von GitHubs Maßnahmen wirft jedoch Fragen auf, da die Löschung von Code durch den Entwickler aus einem seiner eigenen Repositories nicht als Verstoß gegen die Dienstregeln angesehen werden kann. Darüber hinaus wird im Lizenztext der Pakete colors und faker klar darauf hingewiesen, dass keine Garantien oder Verpflichtungen hinsichtlich der Funktionalität des Codes bestehen.
Interessanterweise wurde die erste Warnung über die Einstellung der Entwicklung vor mehr als einem Jahr veröffentlicht. Im September 2020 verlor Marak aufgrund eines Brandes sämtlichen Besitz, woraufhin er Anfang November in ultimativem Ton kommerzielle Unternehmen, die seine Projekte nutzen, aufforderte, die Weiterentwicklung zu finanzieren, andernfalls drohte er, die Wartung einzustellen, da er nicht bereit sei, weiterhin kostenlos zu arbeiten. Vor dem Vorfall wurde die letzte Version von colors vor zwei Jahren veröffentlicht, während faker vor neun Monaten aktualisiert wurde.
Was die Motive für die Einführung destruktiver Änderungen in die Pakete betrifft, so scheint Marak zu versuchen, den Unternehmen, die die Arbeiten der Gemeinschaft der Entwickler von Open-Source-Software nutzen, aber nichts zurückgeben, eine Lektion zu erteilen oder die Aufmerksamkeit auf die Neubeurteilung der Umstände des Todes von Aaron Swartz zu lenken. Aaron nahm sich das Leben, nachdem gegen ihn ein Strafverfahren eingeleitet wurde, das mit dem Kopieren wissenschaftlicher Artikel aus der kostenpflichtigen Datenbank JSTOR zusammenhing, und setzte sich für die Idee des freien Zugangs zu wissenschaftlichen Publikationen ein. Aaron wurde wegen Computerbetrugs und unbefugten Zugriffs auf einen geschützten Computer angeklagt, wofür die maximale Strafe 50 Jahre Freiheitsentzug und eine Geldstrafe von einer Million Dollar betrug (im Falle eines gerichtlichen Vergleichs und einer Anerkennung der Anklagen sollte Aaron 6 Monate im Gefängnis verbüßen).
Es wird angenommen, dass Aaron aufgrund von Depressionen dem Druck des Rechtssystems und der Ungerechtigkeit der erhobenen Anklagen nicht standhielt (ihm drohten 50 Jahre Gefängnis nur dafür, dass er den Inhalt einer Datenbank mit wissenschaftlichen Artikeln heruntergeladen hatte, die seiner Meinung nach ohne Beschränkungen verbreitet werden sollten). Marak Squires deutet in der veröffentlichten Frage zum Tod von Aaron und in einem Tweet auf eine unbestätigte Verschwörungstheorie hin, gemäß der Aaron Swartz im MIT-Archiv Dokumente gefunden habe, die bestimmte wichtige Persönlichkeiten beschuldigten, und dass er dafür ermordet wurde, indem sein Tod als Suizid getarnt wurde (morgen jährt sich Aarons Tod zum 9. Mal).
Quelle: opennet.ru
