Marak Squires, auteur de paquets populaires tels que colors (coloration de console node.js) et faker (générateur de données fictives pour champs de saisie), qui totalisent respectivement 2.8 et 25 millions de téléchargements hebdomadaires, a publié dans le dépôt NPM et sur GitHub de nouvelles versions de ses produits, contenant des modifications destructrices entraînant des échecs lors de la compilation et de l'exécution de projets dépendants. En conséquence, de nombreux projets, y compris AWS CDK, utilisant ces bibliothèques ont été perturbés — la bibliothèque colors est utilisée comme dépendance par 18 953 projets, tandis que faker l'est par 2 571.
Le code de la bibliothèque «colors» a été modifié pour afficher dans la console le texte «LIBERTY LIBERTY LIBERTY» et pour inclure une boucle infinie, bloquant le fonctionnement des projets dépendants et produisant un flot de mots déformés «tesing». Dans la bibliothèque faker, le contenu du dépôt a été supprimé, et dans le commit «endgame», des fichiers .gitignore et .npmignore ont été ajoutés pour exclure les fichiers du projet, tandis que le contenu du fichier README a été remplacé par la question «Que s'est-il vraiment passé avec Aaron Schwartz». Des problèmes sont présents dans les versions colors 1.4.1+ et faker 6.6.6.
En réponse aux actions entreprises, GitHub a bloqué l'accès de Marak à ses dépôts (90 publics + plusieurs privés), tandis que NPM a annulé la version malveillante du paquet. Cela soulève des questions sur la légalité des actions de GitHub, car la suppression par le développeur de code d'un de ses dépôts ne peut pas être considérée comme une violation des règles du service. De plus, le texte de la licence des paquets colors et faker stipule clairement l'absence de toute garantie et obligation concernant le bon fonctionnement du code.
Il est intéressant de noter que le premier avertissement concernant l'arrêt du développement a été publié il y a plus d'un an. En septembre 2020, Marak a perdu tous ses biens à cause d'un incendie, après quoi, début novembre, il a appelé de manière impérative les entreprises commerciales utilisant ses projets à financer la poursuite du développement, sinon il promettait d'arrêter le support, ne souhaitant plus travailler gratuitement. Avant l'incident, la dernière version de colors avait été publiée il y a deux ans, et celle de faker il y a neuf mois.
En ce qui concerne les motivations derrière l'introduction de changements destructeurs dans les paquets, Marak tente probablement de donner une leçon aux entreprises qui profitent des efforts de la communauté des développeurs de logiciels libres sans rien restituer en retour, ou d'attirer l'attention sur la réévaluation des circonstances de la mort d'Aaron Swartz. Aaron s'est suicidé après qu'une affaire criminelle ait été portée contre lui, liée au téléchargement d'articles scientifiques à partir de la base de données payante JSTOR, défendant l'idée d'un accès libre aux publications scientifiques. Aaron a été accusé de fraude informatique et d'accès non autorisé à un ordinateur protégé, les peines maximales pour lesquelles étaient de 50 ans d'emprisonnement et une amende d'un million de dollars (en cas d'un accord judiciaire, Aaron aurait dû purger une peine de 6 mois).
On considère qu'Aaron, dans un contexte de dépression, n'a pas supporté la pression du système judiciaire et l'injustice des accusations portées contre lui (il risquait 50 ans de prison juste pour avoir téléchargé le contenu d'une base de données d'articles scientifiques, qu'il pensait devoir être diffusé sans restrictions). Marak Squires, dans une question publiée à la place du code supprimé concernant la mort d'Aaron et dans une publication sur Twitter, sous-entend une théorie du complot non vérifiée, selon laquelle Aaron Swartz aurait trouvé dans les archives du MIT des documents compromettants concernant certaines personnalités importantes, et qu'il aurait été tué pour cela, déguisant son décès en suicide (demain marquera 9 ans depuis qu'Aaron nous a quittés).
Source : opennet.ru
