डेवलपर ने 20 हजार परियोजनाओं में उपयोग किए जाने वाले रंगों और नकली एनपीएम पैकेजों में विनाशकारी परिवर्तन किए

2.8 मिलियन और 25 मिलियन साप्ताहिक डाउनलोड के साथ लोकप्रिय कलर्स (नोड.जेएस कंसोल कलराइजेशन) और फ़ेकर (इनपुट फ़ील्ड के लिए नकली डेटा जनरेटर) पैकेज के लेखक मराक स्क्वॉयर ने एनपीएम रिपॉजिटरी और गिटहब पर अपने उत्पादों के नए संस्करण पोस्ट किए हैं। , जिसमें विनाशकारी परिवर्तन शामिल हैं जो जानबूझकर आश्रित परियोजनाओं के संयोजन और निष्पादन के चरण में विफलताओं का कारण बनते हैं। मराक के कार्यों के परिणामस्वरूप, निर्दिष्ट पुस्तकालयों का उपयोग करते हुए AWS CDK सहित कई परियोजनाओं का काम बाधित हो गया - रंग पुस्तकालय का उपयोग 18953 परियोजनाओं में एक निर्भरता के रूप में किया जाता है, और फ़ेकर का उपयोग 2571 में किया जाता है।

"कलर्स" लाइब्रेरी कोड में, "लिबर्टी लिबर्टी लिबर्टी" टेक्स्ट का कंसोल आउटपुट और एक अनंत लूप जोड़ा गया, जो आश्रित परियोजनाओं के काम को अवरुद्ध करता है और विकृत शब्दों "टेसिंग" की एक धारा को आउटपुट करता है। फ़ेकर लाइब्रेरी ने रिपॉजिटरी की सामग्री को हटा दिया, प्रोजेक्ट फ़ाइलों को बाहर करने के लिए "एंडगेम" कमिट में .gitignore और .npmignore फ़ाइलों को जोड़ा, और README फ़ाइल की सामग्री को "हारून स्वार्टज़ को वास्तव में क्या हुआ" प्रश्न से बदल दिया। समस्याएँ संस्करण रंग 1.4.1+ और फेकर 6.6.6 में मौजूद हैं।

इन कार्रवाइयों के जवाब में, GitHub ने अपने रिपॉजिटरी (90 सार्वजनिक + कई निजी) तक मराक की पहुंच को अवरुद्ध कर दिया, और NPM ने पैकेज के दुर्भावनापूर्ण संस्करण को वापस ले लिया। उसी समय, GitHub के कार्यों की वैधता पर सवाल उठते हैं, क्योंकि किसी डेवलपर द्वारा उसके किसी रिपॉजिटरी से कोड को हटाने को सेवा के नियमों का उल्लंघन नहीं माना जा सकता है। इसके अलावा, रंगों और फ़ेकर पैकेजों के लाइसेंस पाठ में स्पष्ट रूप से कहा गया है कि कोड की कार्यक्षमता के संबंध में कोई गारंटी या दायित्व नहीं हैं।

दिलचस्प बात यह है कि विकास की समाप्ति के बारे में पहली चेतावनी एक साल से भी अधिक समय पहले प्रकाशित की गई थी। सितंबर 2020 में, मारक ने आग लगने के कारण अपनी सारी संपत्ति खो दी, जिसके बाद नवंबर की शुरुआत में, एक अल्टीमेटम के रूप में, उन्होंने विकास की निरंतरता को वित्तपोषित करने के लिए अपनी परियोजनाओं का उपयोग करने वाली वाणिज्यिक कंपनियों को बुलाया, अन्यथा उन्होंने उनका समर्थन करना बंद करने का वादा किया, चूँकि उसका अब मुफ़्त में काम करने का इरादा नहीं है। घटना से पहले, कलर्स का नवीनतम संस्करण दो साल पहले जारी किया गया था, और फ़ेकर 9 महीने पहले जारी किया गया था।

पैकेजों में विनाशकारी परिवर्तन करने के अपने उद्देश्यों के लिए, मराक संभवतः उन निगमों को सबक सिखाने की कोशिश कर रहे हैं जो मुफ्त सॉफ्टवेयर समुदाय के काम से बदले में कुछ भी वापस किए बिना लाभान्वित होते हैं, या मौत की परिस्थितियों पर पुनर्विचार करने के लिए ध्यान आकर्षित करते हैं। एरोन स्वार्ट्ज. वैज्ञानिक प्रकाशनों तक मुफ्त पहुंच प्रदान करने के विचार का बचाव करते हुए, भुगतान डेटाबेस जेएसटीओआर से वैज्ञानिक लेखों की प्रतिलिपि बनाने से संबंधित एक आपराधिक मामला लाए जाने के बाद हारून ने आत्महत्या कर ली। हारून पर कंप्यूटर धोखाधड़ी और एक संरक्षित कंप्यूटर से अवैध रूप से जानकारी प्राप्त करने का आरोप लगाया गया था, जिसके लिए अधिकतम जुर्माना 50 साल की जेल और एक मिलियन डॉलर का जुर्माना था (यदि अदालती समझौता हुआ और आरोप स्वीकार किए गए, तो हारून को सजा काटनी होगी) 6 महीने जेल में)।

ऐसा माना जाता है कि हारून, अवसाद के बीच, न्यायिक प्रणाली के दबाव और सामने लाए गए आरोपों के अन्याय का सामना नहीं कर सका (केवल वैज्ञानिक लेखों के डेटाबेस की सामग्री को डाउनलोड करने के लिए उसे 50 साल की जेल का सामना करना पड़ा, जो उसकी राय में था) बिना किसी प्रतिबंध के वितरित किया जाना चाहिए)। हटाए गए कोड के बजाय और ट्विटर पर एक पोस्ट में हारून की मौत के बारे में प्रकाशित एक प्रश्न में, माराक स्क्वॉयर ने एक अपुष्ट साजिश सिद्धांत पर संकेत दिया, जिसके अनुसार हारून स्वार्ट्ज को एमआईटी अभिलेखागार में कुछ दस्तावेज मिले जो कुछ महत्वपूर्ण लोगों को बदनाम करते थे, और वह थे इसके लिए हत्या कर दी गई। आने वाली घटना को आत्महत्या के रूप में छिपाया गया (कल हारून के निधन को 9 साल हो जाएंगे)।

स्रोत: opennet.ru