Arendaja tegi kahjulikke muudatusi NPM-pakettides colors ja faker, mida kasutatakse 20 000 projektis.

Marak Squires, populaarsete node.js pakettide colors (konsooli värvimine) ja faker (valeandmete generaator sisendväljade jaoks) autor, millel on vastavalt 2.8 ja 25 miljonit nädalast allalaadimist, on NPM-i ja GitHubi hoidlatest välja andnud uued versioonid oma toodetest, mis sisaldavad hävitavaid muudatusi, mis on teadlikult seadnud sõltuvate projektide ehituse ja täitmise ajal rikkeid. Maraki tegevuse tõttu on paljude projektide, sealhulgas AWS CDK, töö häiritud, mis kasutavad nimetatud teeke — teek colors on sõltuvuseks 18953 projektil, samas kui faker on 2571-l.

Teeki «colors» koodis on lisatud konsooli tekst «LIBERTY LIBERTY LIBERTY» väljund ja lõpmatu tsükkel, mis blokeerib sõltuvate projektide töö ja kuvab moonutatud sõnade voogu «tesing». Teegist faker on eemaldatud hoidla sisu, commit'is «endgame» on lisatud failid .gitignore ja .npmignore, et välistada projekti faile, ning README faili sisu asemel on küsimus «Mis tegelikult juhtus Aaron Swartzi kanssa». Probleemid esinevad versioonides colors 1.4.1+ ja faker 6.6.6.

Maraki toimingutele vastuseks blokeeris GitHub tema juurdepääsu oma hoidlatele (90 avalikku + mitmeid erasektoreid), samas kui NPM tagas kahjuliku versiooni paketti. Samas on GitHubi tegevuse seaduslikkus küsitav, kuna arendaja koodi eemaldamine oma ühes hoidlas ei saa olla teenuse reeglite rikkumisena tõlgendatud. Veel enam, colors ja faker pakettide litsentsitekstis on selgelt märgitud garantiide ja kohustuste puudumine koodi töökindluse osas.

Huvitav on see, et esimene teade arendamise lõpetamise kohta avaldati üle aasta tagasi. September 2020 tõi Marakile tulekahju tõttu kõik oma vara kaotuse, pärast mida kutsus ta novembri alguses pealetükkivas vormis ärifirmasid, kes kasutasid tema projekte, üles rahastama arenduse jätkamist, vastasel juhul lubas ta lõpetada toe, kuna ta ei kavatse enam tasuta töötada. Enne intsidenti oli viimase colors versiooni väljaandmisest möödunud kaks aastat, fakeri puhul aga üheksa kuud.

Mis motivatsioonide osas, mis tõukavad hävitavaid muudatusi pakettidesse, püüab Marak ilmselt anda õppetunni neile ettevõtetele, kes kasutavad avatud lähtekoodiga arendajate panust, kuid ei anna midagi tagasi, või juhtida tähelepanu Aaron Swartzi surma asjaolude ümbermõtestamisele. Aaron lõpetas oma elu enesetapuga pärast seda, kui tema vastu algatati kriminaalasi, mis oli seotud teadusartiklite kopeerimisega tasulisest andmebaasist JSTOR, pooldades ideed, et teaduspublikatsioonidele peab olema tasuta juurdepääs. Aaronile esitati süüdistused arvutipettuses ja kaitstud arvutist teabe ebaseaduslikus hankimises, mille maksimaalne karistus oli 50 aastat vangistust ja miljoni dollari suurune trahv (kui kohtumenetlus oleks lõppenud kokkuleppega ja süüdistuste aktsepteerimisega, oleks Aaron pidanud veetma vanglas 6 kuud).

Peetakse tõenäoliseks, et Aaron ei suutnud depressiooni tõttu taluda kohtusüsteemi survet ja esitatud süüdistuste ebaõiglust (temaga ähvardas 50 aastat vangistust pelgalt selle eest, et ta tõi tasuta kätte teadusartiklite sisust, mille arvates peaks olema piiramatu levik). Marak Squires viitab avaldatud küsimuses Aaron Swartzi surma kohta ja Twitteri postituses kinnitamata vandenõuteooriale, mille kohaselt leidis Aaron MIT arhivist some dokumendid, mis mustasid teatud olulisi isikuid, ning teda tapeti selle eest, maskeerides selle enesetapuks (homme möödub 9 aastat, kui Aaron lahkus).

Allikas: opennet.ru