Le développeur a apporté des modifications destructrices aux couleurs et aux faux packages NPM utilisés dans 20 XNUMX projets.

Marak Squires, auteur des packages populaires colours (colorisation de la console node.js) et faker (faux générateur de données pour les champs de saisie), avec 2.8 millions et 25 millions de téléchargements hebdomadaires, a publié de nouvelles versions de ses produits dans le référentiel NPM et sur GitHub. , y compris des changements destructeurs qui conduisent délibérément à des échecs au stade de l'assemblage et de l'exécution des projets dépendants. À la suite des actions de Marak, le travail de nombreux projets, y compris AWS CDK, utilisant les bibliothèques spécifiées a été perturbé - la bibliothèque de couleurs est utilisée comme dépendance dans 18953 2571 projets et faker dans XNUMX XNUMX.

Dans le code de la bibliothèque "colors", la sortie console du texte "LIBERTY LIBERTY LIBERTY" et une boucle infinie ont été ajoutées, bloquant le travail des projets dépendants et produisant un flux de mots déformés "tesing". La fausse bibliothèque a supprimé le contenu du référentiel, ajouté les fichiers .gitignore et .npmignore au commit "endgame" pour exclure les fichiers du projet et remplacé le contenu du fichier README par la question "Qu'est-il réellement arrivé à Aaron Swartz". Des problèmes sont présents dans les versions colours 1.4.1+ et faker 6.6.6.

En réponse à ces actions, GitHub a bloqué l’accès de Marak à ses référentiels (90 publics + plusieurs privés), et NPM a annulé la version malveillante du package. Dans le même temps, la légalité des actions de GitHub soulève des questions, puisque la suppression de code par un développeur de l’un de ses référentiels ne peut être considérée comme une violation des règles du service. De plus, le texte de licence pour les couleurs et les packages de contrefaçon indique clairement qu'il n'y a aucune garantie ou obligation concernant la fonctionnalité du code.

Il est intéressant de noter que le premier avertissement concernant l’arrêt du développement a été publié il y a plus d’un an. En septembre 2020, Marak a perdu tous ses biens à cause d'un incendie, après quoi début novembre, sous la forme d'un ultimatum, il a fait appel aux sociétés commerciales utilisant ses projets pour financer la poursuite du développement, faute de quoi il a promis de cesser de le soutenir, puisqu'il n'a plus l'intention de travailler gratuitement. Avant l 'incident, la dernière version de Colours avait été publiée il y a deux ans et la version Faker avait été publiée il y a neuf mois.

Quant aux raisons qui l'ont poussé à apporter des modifications destructrices aux paquets, Marak essaie probablement de donner une leçon aux entreprises qui bénéficient du travail de la communauté du logiciel libre sans rien rendre en retour, ou d'attirer l'attention sur la nécessité de repenser les circonstances de la mort de Aaron Swartz. Aaron s'est suicidé après qu'une affaire pénale ait été engagée contre lui pour avoir copié des articles scientifiques de la base de données payante JSTOR, défendant l'idée de fournir un accès gratuit aux publications scientifiques. Aaron a été accusé de fraude informatique et d'obtention illégale d'informations à partir d'un ordinateur protégé, passible d'une peine maximale de 50 ans de prison et d'une amende d'un million de dollars (si un accord judiciaire était conclu et que les accusations étaient admises, Aaron devrait purger une peine de prison). 6 mois de prison).

On pense qu'Aaron, en pleine dépression, n'a pas pu résister à la pression du système judiciaire et à l'injustice des accusations portées (il risquait 50 ans de prison simplement pour avoir téléchargé le contenu d'une base de données d'articles scientifiques, ce qui, selon lui, doit être distribué sans restrictions). Marak Squires, dans une question sur la mort d'Aaron publiée au lieu d'un code supprimé et dans un message sur Twitter, fait allusion à une théorie du complot non confirmée, selon laquelle Aaron Swartz aurait trouvé des documents dans les archives du MIT qui discréditaient certaines personnes importantes, et il aurait été tué pour cela, déguisant sa venue en suicide (demain, cela fera 9 ans qu'Aaron est décédé).

Source: opennet.ru