Marak Squires, a popular author of the colors package (coloring for the node.js console) and faker (a fake data generator for input fields), which have 2.8 and 25 million weekly downloads, has released new versions of his products in the NPM repository and on GitHub that include destructive changes aimed at causing failures during the build and execution stages of dependent projects. As a result of Marak's actions, many projects have been disrupted, including AWS CDK, which use the mentioned libraries — the colors library is a dependency for 18,953 projects, while faker is used in 2,571 projects.
The code of the 'colors' library has been modified to include output to the console displaying the text 'LIBERTY LIBERTY LIBERTY' and an infinite loop that blocks the operation of dependent projects, outputting a stream of distorted words 'tesing'. In the faker library, the content of the repository has been deleted, in the 'endgame' commit files .gitignore and .npmignore have been added to exclude project files, and instead of the content of the README file, a question has been placed: 'What really happened to Aaron Schwartz?'. Issues are present in versions colors 1.4.1+ and faker 6.6.6.
In response to the actions taken, GitHub has blocked Marak's access to his repositories (90 public + several private), while NPM rolled back the malicious version of the package. Meanwhile, the legality of GitHub's actions raises questions, as a developer's removal of code from one of their repositories cannot be seen as a violation of service rules. Moreover, the license text for the colors and faker packages clearly states the absence of any warranties or obligations regarding code functionality.
Interestingly, the first warning about the cessation of development was published more than a year ago. In September 2020, Marak lost all his possessions in a fire, after which in early November he made an ultimatum by calling on commercial companies using his projects to fund the continuation of development, or he promised to stop maintenance as he no longer intends to work for free. Before the incident, the last version of colors was released two years ago, while faker was released 9 months ago.
Ami a destruktív módosítások csomagokba való beillesztésének motivációit illeti, valószínű, hogy Marak azt próbálja megtanítani a vállalatoknak, akik kihasználják a szabad szoftver fejlesztői közösség munkáját, de cserébe semmit nem adnak, vagy fel akarja hívni a figyelmet Aaron Swartz halálának körülményeinek újragondolására. Aaron öngyilkosságot követett el egy ellene indított büntetőeljárás után, amely a JSTOR fizetős adatbázisból származó tudományos cikkek másolásával kapcsolatos, hangsúlyozva a tudományos publikációk szabad hozzáférésének fontosságát. Aaron számítógépes csalással és védett számítógépről történő jogtalan információszerzéssel vádolták, amelyért a maximális büntetés 50 év börtön és egymillió dolláros bírság volt (ha a bírósági megállapodást elfogadta volna és elismerte a vádat, 6 hónapot kellett volna börtönben töltenie).
Úgy tartják, hogy Aaron, a depresszióval küzdve, nem bírta el a bírósági rendszer nyomását és az elégtelen vádak igazságtalanságát (csak azért fenyegette 50 év börtön, mert letöltötte a tudományos cikkek adatbázisának tartalmát, amely szerinte korlátozás nélkül kellene, hogy terjedjen). Marak Squires a Twitteren közzétett kérdésben Aaron haláláról és egy közzétett cikkben céloz egy megerősítetlen összeesküvés-elméletre, amely szerint Aaron Swartz találta az MIT archívumában bizonyos dokumentumokat, amelyek diskreditálják egyes fontos személyeket, és ezért meggyilkolták, az öngyilkosság álcájába burkolva (holnap 9 éve, hogy Aaron távozott az életből).
Forrás: opennet.ru
