Marak Squires, de auteur van populaire pakketten zoals colors (kleuring van de node.js-console) en faker (gegevensgenerator voor invoervelden), die respectievelijk 2,8 en 25 miljoen wekelijkse downloads heeft, heeft nieuwe versies van zijn producten gepubliceerd in de NPM-repository en op GitHub. Deze versies bevatten destructieve wijzigingen die opzettelijk leiden tot fouten tijdens de bouw- en uitvoeringsfase van afhankelijke projecten. Door de acties van Marak zijn veel projecten, waaronder AWS CDK, die deze bibliotheken gebruiken, ontregeld — de colors-bibliotheek is een afhankelijkheid van 18.953 projecten, terwijl faker dat is voor 2.571 projecten.
In de code van de bibliotheek 'colors' is de console-uitvoer van de tekst 'LIBERTY LIBERTY LIBERTY' toegevoegd, evenals een oneindige lus die de werking van afhankelijke projecten blokkeert, wat leidt tot een stroom van verstoorde woorden 'tesing'. In de faker-bibliotheek is de inhoud van de repository verwijderd, en in de commit 'endgame' zijn .gitignore- en .npmignore-bestanden toegevoegd om projectbestanden uit te sluiten. In plaats van de inhoud van het README-bestand is de vraag geplaatst: 'Wat is er eigenlijk met Aaron Swartz gebeurd?'. Problemen zijn aanwezig in de versies colors 1.4.1+ en faker 6.6.6.
In antwoord op deze acties heeft GitHub de toegang van Marak tot zijn repositories (90 openbaar + enkele privé) geblokkeerd, en NPM heeft de schadelijke versie van het pakket teruggedraaid. De rechtmatigheid van de acties van GitHub roept echter vragen op, omdat het verwijderen van code door de ontwikkelaar uit een van zijn repositories niet kan worden beschouwd als een schending van de servicevoorwaarden. Bovendien staat in de tekst van de licentie voor de pakketten colors en faker duidelijk dat er geen garanties of verplichtingen zijn met betrekking tot de werking van de code.
Opmerkelijk is dat de eerste waarschuwing over het stopzetten van de ontwikkeling meer dan een jaar geleden werd gepubliceerd. In september 2020 verloor Marak al zijn bezittingen door een brand, waarna hij begin november in een ultimatum zijn oproep deed aan commerciële bedrijven die zijn projecten gebruiken om de verdere ontwikkeling te financieren, anders beloofde hij het onderhoud te stoppen, omdat hij niet van plan was om gratis te blijven werken. Tot het incident was de laatste versie van colors twee jaar geleden uitgekomen en die van faker negen maanden geleden.
Wat de motieven zijn voor het aanbrengen van destructieve wijzigingen in de pakketten, het lijkt erop dat Marak een les probeert te geven aan bedrijven die profiteren van het werk van de open source ontwikkelaarsgemeenschap maar daar niets voor teruggeven, of aandacht willen vestigen op het heroverwegen van de omstandigheden rond de dood van Aaron Swartz. Aaron heeft zelfmoord gepleegd na een strafrechtelijke aanklacht tegen hem, gerelateerd aan het kopiëren van wetenschappelijke artikelen uit de betaalde database JSTOR, waarbij hij pleitte voor gratis toegang tot wetenschappelijke publicaties. Aaron werd beschuldigd van computerfraude en het onrechtmatig verkrijgen van informatie van een beveiligde computer, waarvoor de maximale straf 50 jaar gevangenisstraf en een boete van een miljoen dollar was (in het geval van een schikking zou Aaron 6 maanden in de gevangenis moeten doorbrengen).
Het wordt aangenomen dat Aaron, te midden van een depressie, de druk van het rechtssysteem en de onrechtvaardigheid van de aanklachten niet heeft kunnen weerstaan (hij stond 50 jaar gevangenis te wachten alleen al voor het downloaden van de inhoud van een database met wetenschappelijke artikelen die volgens hem onbeperkt zouden moeten worden verspreid). Marak Squires verwijst in een vraag over de dood van Aaron en een publicatie op Twitter naar een onbevestigde samenzweringstheorie, volgens welke Aaron Swartz documenten zou hebben gevonden in het MIT-archief die bepaalde belangrijke personen in diskrediet brachten, en dat hij daarom werd vermoord, waarbij zijn dood als zelfmoord werd vermomd (morgen is het 9 jaar geleden dat Aaron werd verloren).
Bron: opennet.ru
