{"id":102934,"date":"2022-01-10T15:36:46","date_gmt":"2022-01-10T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d1%80%d0%b0%d0%b7%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%87%d0%b8%d0%ba-%d0%b2%d0%bd%d1%91%d1%81-%d0%b4%d0%b5%d1%81%d1%82%d1%80%d1%83%d0%ba%d1%82%d0%b8%d0%b2%d0%bd%d1%8b%d0%b5-%d0%b8%d0%b7%d0%bc%d0%b5"},"modified":"2022-01-10T15:36:46","modified_gmt":"2022-01-10T13:36:47","slug":"%d1%80%d0%b0%d0%b7%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%87%d0%b8%d0%ba-%d0%b2%d0%bd%d1%91%d1%81-%d0%b4%d0%b5%d1%81%d1%82%d1%80%d1%83%d0%ba%d1%82%d0%b8%d0%b2%d0%bd%d1%8b%d0%b5-%d0%b8%d0%b7%d0%bc%d0%b5","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/%d1%80%d0%b0%d0%b7%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%87%d0%b8%d0%ba-%d0%b2%d0%bd%d1%91%d1%81-%d0%b4%d0%b5%d1%81%d1%82%d1%80%d1%83%d0%ba%d1%82%d0%b8%d0%b2%d0%bd%d1%8b%d0%b5-%d0%b8%d0%b7%d0%bc%d0%b5","title":{"rendered":"Le d\u00e9veloppeur a apport\u00e9 des modifications destructrices aux packages NPM colors et faker, utilis\u00e9s dans 20 000 projets.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Marak Squires, l'auteur des packages populaires colors (pour la coloration de la console node.js) et faker (g\u00e9n\u00e9rateur de donn\u00e9es fictives pour les champs d'entr\u00e9e), comptant respectivement 2,8 et 25 millions de t\u00e9l\u00e9chargements hebdomadaires, a publi\u00e9 dans le d\u00e9p\u00f4t NPM et sur GitHub de nouvelles versions de ses produits incluant des modifications destructives visant \u00e0 provoquer des \u00e9checs lors de la compilation et de l'ex\u00e9cution de projets d\u00e9pendants. En cons\u00e9quence, de nombreux projets, y compris AWS CDK, utilisant ces biblioth\u00e8ques ont \u00e9t\u00e9 perturb\u00e9s - la biblioth\u00e8que colors est une d\u00e9pendance pour 18953 projets, tandis que faker en a 2571. <\/p>\n
Le code de la biblioth\u00e8que \u00abcolors\u00bb a \u00e9t\u00e9 modifi\u00e9 pour afficher dans la console le texte \u00abLIBERTY LIBERTY LIBERTY\u00bb et un boucle infinie, bloquant le fonctionnement des projets d\u00e9pendants et affichant un flux de mots d\u00e9form\u00e9s \u00abtesing\u00bb. Dans la biblioth\u00e8que faker, le contenu du d\u00e9p\u00f4t a \u00e9t\u00e9 supprim\u00e9, dans le commit \u00abendgame\u00bb des fichiers .gitignore et .npmignore ont \u00e9t\u00e9 ajout\u00e9s pour exclure les fichiers de projet, et au lieu du contenu du fichier README, une question a \u00e9t\u00e9 plac\u00e9e : \u00abQue s'est-il r\u00e9ellement pass\u00e9 avec Aaron Schwartz ?\u00bb. Les probl\u00e8mes se trouvent dans les versions colors 1.4.1+ et faker 6.6.6.
<\/center> <\/p>\n
En r\u00e9ponse aux actions entreprises, GitHub a bloqu\u00e9 l'acc\u00e8s de Marak \u00e0 ses d\u00e9p\u00f4ts (90 publics + plusieurs priv\u00e9s), tandis que NPM a annul\u00e9 la version malveillante du paquet. Cela soul\u00e8ve des questions sur la l\u00e9galit\u00e9 des actions de GitHub, car la suppression par le d\u00e9veloppeur de code d'un de ses d\u00e9p\u00f4ts ne peut pas \u00eatre consid\u00e9r\u00e9e comme une violation des r\u00e8gles du service. De plus, le texte de la licence des paquets colors et faker stipule clairement l'absence de toute garantie et obligation concernant le bon fonctionnement du code. <\/p>\n
Il est int\u00e9ressant de noter que le premier avertissement concernant l'arr\u00eat du d\u00e9veloppement a \u00e9t\u00e9 publi\u00e9 il y a plus d'un an. En septembre 2020, Marak a perdu tous ses biens \u00e0 cause d'un incendie, apr\u00e8s quoi, d\u00e9but novembre, il a de mani\u00e8re ultimative appel\u00e9 les entreprises commerciales utilisant ses projets \u00e0 financer la poursuite du d\u00e9veloppement, sinon il promettait d'arr\u00eater le support, car il ne souhaitait plus travailler gratuitement. Avant cet incident, la derni\u00e8re version de colors avait \u00e9t\u00e9 publi\u00e9e deux ans auparavant, tandis que faker l'avait \u00e9t\u00e9 neuf mois plus t\u00f4t. <\/p>\n
En ce qui concerne les motivations derri\u00e8re l'introduction de changements destructeurs dans les paquets, Marak tente probablement de donner une le\u00e7on aux entreprises qui profitent des efforts de la communaut\u00e9 des d\u00e9veloppeurs de logiciels libres sans rien restituer en retour, ou d'attirer l'attention sur la r\u00e9\u00e9valuation des circonstances de la mort d'Aaron Swartz. Aaron s'est suicid\u00e9 apr\u00e8s qu'une affaire criminelle ait \u00e9t\u00e9 port\u00e9e contre lui, li\u00e9e au t\u00e9l\u00e9chargement d'articles scientifiques \u00e0 partir de la base de donn\u00e9es payante JSTOR, d\u00e9fendant l'id\u00e9e d'un acc\u00e8s libre aux publications scientifiques. Aaron a \u00e9t\u00e9 accus\u00e9 de fraude informatique et d'acc\u00e8s non autoris\u00e9 \u00e0 un ordinateur prot\u00e9g\u00e9, les peines maximales pour lesquelles \u00e9taient de 50 ans d'emprisonnement et une amende d'un million de dollars (en cas d'un accord judiciaire, Aaron aurait d\u00fb purger une peine de 6 mois). <\/p>\n
On consid\u00e8re qu'Aaron, dans un contexte de d\u00e9pression, n'a pas support\u00e9 la pression du syst\u00e8me judiciaire et l'injustice des accusations port\u00e9es contre lui (il risquait 50 ans de prison juste pour avoir t\u00e9l\u00e9charg\u00e9 le contenu d'une base de donn\u00e9es d'articles scientifiques, qu'il pensait devoir \u00eatre diffus\u00e9 sans restrictions). Marak Squires, dans une question publi\u00e9e \u00e0 la place du code supprim\u00e9 concernant la mort d'Aaron et dans une publication sur Twitter, sous-entend une th\u00e9orie du complot non v\u00e9rifi\u00e9e, selon laquelle Aaron Swartz aurait trouv\u00e9 dans les archives du MIT des documents compromettants concernant certaines personnalit\u00e9s importantes, et qu'il aurait \u00e9t\u00e9 tu\u00e9 pour cela, d\u00e9guisant son d\u00e9c\u00e8s en suicide (demain marquera 9 ans depuis qu'Aaron nous a quitt\u00e9s). \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Le](\"\/wp-content\/uploads\/2022\/01\/bc0419ba085022b07c360deb3b1a9de5.jpg\")
<\/center> <\/p>\n