היזם ביצע שינויים הרסניים בצבעים ובחבילות NPM מזויפות בשימוש ב-20 אלף פרויקטים

Marak Squires, מחבר החבילות הפופולריות של הצבעים (צביעת קונסולת node.js) וה-Faker (מחולל נתונים מזויפים לשדות קלט), עם 2.8 מיליון ו-25 מיליון הורדות שבועיות, פרסם גרסאות חדשות של המוצרים שלו במאגר NPM וב-GitHub , לרבות שינויים הרסניים המובילים בכוונה לכשלים בשלב ההרכבה והביצוע של פרויקטים תלויים. כתוצאה מפעולותיו של Marak, השתבשה עבודתם של פרויקטים רבים, כולל AWS CDK, באמצעות הספריות שצוינו - ספריית הצבעים משמשת כתלות ב-18953 פרויקטים, ו-Faker ב-2571.

בקוד הספרייה "צבעים", נוספו פלט מסוף של הטקסט "LIBERTY LIBERTY LIBERTY" ולופ אינסופי, שחסמו את עבודתם של פרויקטים תלויים והוציאו זרם של מילים מעוותות "testing". הספרייה המזויפת הסירה את תוכן המאגר, הוסיפה קבצי .gitignore ו-.npmignore להתחייבות "סוף המשחק" להחרגת קבצי פרויקט, והחליפה את התוכן של קובץ README בשאלה "מה באמת קרה לארון שוורץ". הבעיות קיימות בגרסאות הצבעים 1.4.1+ ו-Faer 6.6.6.

בתגובה לפעולות אלו, GitHub חסמה את הגישה של Marak למאגרים שלה (90 ציבוריים + כמה פרטיים), ו-NPM החזירה את הגרסה הזדונית של החבילה. יחד עם זאת, חוקיות הפעולות של GitHub מעוררת שאלות, שכן הסרת קוד על ידי מפתח מאחד ממאגריו אינה יכולה להיחשב כהפרה של כללי השירות. יתרה מכך, טקסט הרישיון של הצבעים והחבילות המזוייפות מציין בבירור כי אין ערבויות או התחייבויות לגבי הפונקציונליות של הקוד.

מעניין שהאזהרה הראשונה על הפסקת הפיתוח פורסמה לפני יותר משנה. בספטמבר 2020 איבד מרק את כל רכושו עקב שריפה, ולאחר מכן, בתחילת נובמבר, בצורת אולטימטום, הוא קרא לחברות מסחריות המשתמשות בפרויקטים שלו למימון המשך הפיתוח, אחרת הבטיח להפסיק לתמוך בו. מאחר שהוא כבר לא מתכוון לעבוד בחינם. לפני התקרית, הגרסה האחרונה של צבעים שוחררה לפני שנתיים, ו-faker שוחררה לפני 9 חודשים.

באשר למניעיו לביצוע שינויים הרסניים בחבילות, סביר להניח שמרק מנסה ללמד לקח לתאגידים הנהנים מעבודת קהילת התוכנה החופשית מבלי להחזיר דבר, או למשוך תשומת לב לחשוב מחדש על נסיבות מותו של אהרון שוורץ. אהרון התאבד לאחר שהוגש נגדו תיק פלילי הקשור להעתקת מאמרים מדעיים ממאגר הנתונים בתשלום JSTOR, בהגנה על הרעיון של מתן גישה חופשית לפרסומים מדעיים. אהרון הואשם בהונאת מחשב והשגת מידע שלא כדין ממחשב מוגן, שהעונש המרבי בגינם היה 50 שנות מאסר וקנס של מיליון דולר (אם יושג הסכם בית המשפט והאישומים יתקבלו, אהרון יצטרך לרצות 6 חודשי מאסר).

סבורים שאהרון, על רקע דיכאון, לא יכול היה לעמוד בלחץ מערכת המשפט ובעוולות האישומים שהובאו (הוא עמד בפני 50 שנות מאסר רק על הורדת תוכן מאגר מאמרים מדעיים, שלדעתו יש להפיץ ללא הגבלות). מרק סקווירס, בשאלה על מותו של אהרון שפורסמה במקום קוד שנמחק ובפוסט בטוויטר, רומז על תיאוריית קונספירציה לא מאומתת, לפיה אהרון שוורץ מצא כמה מסמכים בארכיון MIT שהכפישו אנשים חשובים מסוימים, והוא היה נהרג על זה.מסווה את הבאות כהתאבדות (מחר ימלאו 9 שנים מאז שאהרון נפטר).

מקור: OpenNet.ru