개발자는 20만 개의 프로젝트에서 사용되는 색상과 가짜 NPM 패키지를 파괴적으로 변경했습니다.

인기 있는 colors(Node.js 콘솔 컬러라이저)와 faker(가짜 입력 데이터 생성기) 패키지의 저자인 마락 스콰이어스는 주간 다운로드 수가 각각 2.8만과 25만 건에 달하는 자사 제품의 새로운 버전을 NPM 저장소와 GitHub에 릴리스했습니다. 이 버전에는 종속 프로젝트에서 의도적으로 빌드 및 런타임 오류를 일으키는 파괴적인 변경 사항이 포함되어 있습니다. 마락의 행동으로 인해 해당 라이브러리를 사용하는 AWS CDK를 포함한 많은 프로젝트가 중단되었습니다. 색상 라이브러리는 18953개 프로젝트에서 종속성으로 사용되고, faker는 2571개 프로젝트에서 사용됩니다.

"colors" 라이브러리 코드는 "LIBERTY LIBERTY LIBERTY"라는 텍스트의 콘솔 출력과 종속 프로젝트의 작업을 차단하고 왜곡된 단어 "tesing"의 스트림을 출력하는 무한 루프로 보완되었습니다. faker 라이브러리의 저장소 내용이 제거되었고, "endgame" 커밋에 프로젝트 파일을 제외하기 위해 .gitignore 및 .npmignore 파일이 추가되었으며, README 파일 내용이 "Aaron Swartz에게 실제로 무슨 일이 일어났는가"라는 질문으로 대체되었습니다. 이 문제는 colors 1.4.1+ 및 faker 6.6.6에서 발생합니다.

이러한 조치에 대응하여 GitHub은 Marak이 저장소(공개 90개 + 비공개 여러 개)에 접근하는 것을 차단했고 NPM은 해당 패키지의 악성 버전을 롤백했습니다. 동시에 GitHub의 조치가 합법적인지에 대한 의문이 제기되는데, 개발자가 자신의 저장소에서 코드를 삭제하는 것은 서비스 규칙을 위반한 것으로 간주될 수 없기 때문입니다. 게다가 색상과 위조 패키지에 대한 라이센스 텍스트에는 코드의 기능과 관련하여 어떠한 보증이나 의무도 없다고 명확하게 명시되어 있습니다.

흥미로운 점은 개발 종말에 대한 첫 번째 경고가 2020년 전에 발표되었다는 것입니다. 9년 XNUMX월, 마락은 화재로 모든 재산을 잃었고, 그 후 XNUMX월 초에 자신의 프로젝트를 이용해 개발을 계속 진행하려는 상업 기업들에게 최후통첩을 내렸습니다. 그렇지 않으면 더 이상 무료로 일할 생각이 없으므로 지원을 중단하겠다고 약속했습니다. 이 사건 전, 최신 버전의 컬러는 XNUMX년 전에 출시되었고, 페이커는 XNUMX개월 전에 출시되었습니다.

패키지에 파괴적인 변경을 가한 동기에 대해 말하자면, 마락은 자유 소프트웨어 커뮤니티의 작업을 아무런 대가도 주지 않고 사용하는 기업에 교훈을 주려는 의도이거나, 에런 슈워츠의 죽음과 관련된 상황에 주목을 끌려는 의도일 가능성이 큽니다. 에런은 유료 JSTOR 데이터베이스에서 과학 기사를 복사하고 과학 출판물에 대한 무료 접근을 옹호한 혐의로 기소된 후 자살했습니다. 에런은 컴퓨터 사기 혐의와 보호된 컴퓨터에서 불법적으로 정보를 획득한 혐의로 기소되었으며, 최대 징역 50년과 벌금 6만 달러에 처해질 수 있습니다(에런이 유죄를 인정했다면 XNUMX개월 징역형을 선고받았을 것입니다).

에런은 우울증을 겪으면서 사법 체계의 압력과 자신에게 가해진 부당한 혐의를 이겨낼 수 없었던 것으로 여겨진다(그는 과학 기사 데이터베이스의 내용을 다운로드했다는 이유만으로 50년 징역형에 처할 수 있었는데, 그의 의견으로는 이 내용은 제한 없이 배포되어야 한다). 마락 스콰이어스는 삭제된 코드 대신 게시된 에런의 죽음에 대한 질문과 트위터 게시물에서 확인되지 않은 음모론을 암시했습니다. 그 음모론에 따르면 에런 슈워츠가 MIT 아카이브에서 일부 중요 인물의 신뢰를 떨어뜨리는 문서를 찾았고, 이로 인해 그가 살해당했으며, 이 사건을 자살로 위장했다는 것입니다(내일은 에런이 세상을 떠난 지 9주년이 됩니다).

출처 : opennet.ru