Marak Squires, Autor der beliebten Pakete colors (Konsolenfarbgebung für node.js) und faker (Generator für fiktive Daten in Eingabefeldern), die wöchentlich 2,8 Millionen bzw. 25 Millionen Downloads verzeichnen, hat neue Versionen seiner Produkte im NPM-Repository und auf GitHub veröffentlicht. Diese enthalten destruktive Änderungen, die absichtlich zu Fehlern während des Build- und Ausführungsprozesses abhängiger Projekte führen. Aufgrund von Maraks Handlungen wurde die Funktionalität vieler Projekte, einschließlich AWS CDK, beeinträchtigt, da die colors-Bibliothek als Abhängigkeit in 18.953 Projekten und faker in 2.571 Projekten verwendet wird.
In den Code der Bibliothek "colors" wurde eine Konsolenausgabe mit dem Text "LIBERTY LIBERTY LIBERTY" sowie eine Endlosschleife integriert, die die Arbeit abhängiger Projekte blockiert und einen Stream aus verzerrten Worten "tesing" ausgibt. In der Bibliothek faker wurde der Inhalt des Repositories entfernt, im Commit "endgame" wurden .gitignore- und .npmignore-Dateien hinzugefügt, um Projektdateien auszuschließen, und anstelle des Inhalts der README-Datei wurde die Frage "Was ist wirklich mit Aaron Swartz passiert?" platziert. Die Probleme sind in den Versionen colors 1.4.1+ und faker 6.6.6 vorhanden.
Als Reaktion auf die durchgeführten Aktionen hat GitHub den Zugang von Marak zu seinen Repositories (90 öffentliche + mehrere private) gesperrt, während NPM die schadhafte Version des Pakets zurückgesetzt hat. Die Rechtmäßigkeit der Maßnahmen von GitHub wirft Fragen auf, da das Löschen von Code durch den Entwickler aus einem seiner Repositories nicht als Verstoß gegen die Dienstbestimmungen betrachtet werden kann. Zudem wird in den Lizenztexten der Pakete colors und faker ausdrücklich darauf hingewiesen, dass keine Garantien oder Verpflichtungen hinsichtlich der Funktionsfähigkeit des Codes bestehen.
Interessanterweise wurde die erste Warnung über die Einstellung der Entwicklung vor mehr als einem Jahr veröffentlicht. Im September 2020 verlor Marak durch einen Brand sein gesamtes Eigentum, woraufhin er Anfang November in ultimativem Ton kommerzielle Unternehmen, die seine Projekte nutzen, aufforderte, die Fortsetzung der Entwicklung zu finanzieren, andernfalls kündigte er an, die Unterstützung einzustellen, da er nicht länger bereit sei, kostenlos zu arbeiten. Vor dem Vorfall wurde die letzte Version von colors vor zwei Jahren veröffentlicht, die von faker vor neun Monaten.
Die Motive für die destruktiven Änderungen in den Paketen könnten darauf hindeuten, dass Marak den Unternehmen, die von der Arbeit der Community von Open-Source-Entwicklern profitieren, aber nichts zurückgeben, eine Lektion erteilen will. Oder er möchte Aufmerksamkeit auf die Umstände des Todes von Aaron Swartz lenken. Aaron nahm sich das Leben, nachdem gegen ihn ein Strafverfahren wegen des Kopierens wissenschaftlicher Artikel aus der kostenpflichtigen Datenbank JSTOR eingeleitet wurde, in dem er für freien Zugang zu wissenschaftlichen Publikationen eintrat. Aaron wurde wegen Computerbetrugs und unbefugtem Zugriff auf einen geschützten Computer angeklagt, wofür ihm eine maximale Haftstrafe von 50 Jahren und eine Geldstrafe von einer Million Dollar drohten (im Falle eines Gerichtsvergleichs und der Anerkennung der Vorwürfe hätte Aaron 6 Monate im Gefängnis verbüßen müssen).
Es wird angenommen, dass Aaron den Druck des Justizsystems und die Ungerechtigkeit der erhobenen Anklagen aufgrund seiner Depressionen nicht ertragen konnte (ihm drohten 50 Jahre Gefängnis nur, weil er glaubte, dass der Inhalt von wissenschaftlichen Artikeldatenbanken ohne Einschränkungen zugänglich sein sollte). Marak Squires deutet in einer veröffentlichten Frage zu Aarons Tod, die anstelle des entfernten Codes veröffentlicht wurde, sowie in einem Twitter-Beitrag auf eine unbestätigte Verschwörungstheorie hin, nach der Aaron Schwartz in den Archiven des MIT Dokumente entdeckt haben soll, die bestimmte einflussreiche Personen kompromittieren, und dass er deshalb getötet wurde, indem sein Tod als Suizid maskiert wurde (morgen ist der neunte Jahrestag von Aarons Tod).
Quelle: opennet.ru
