Marak Squires, autor dos populares pacotes colors (coloração do console node.js) e faker (gerador de dados fictícios para campos de entrada), que somam 2,8 e 25 milhões de downloads semanais, publicou no repositório NPM e no GitHub novas versões de seus produtos, incluindo alterações destrutivas que intencionalmente causam falhas na etapa de construção e execução de projetos dependentes. Como resultado das ações de Marak, muitos projetos, incluindo AWS CDK, que utilizam as mencionadas bibliotecas, foram afetados — a biblioteca colors é utilizada como dependência em 18.953 projetos, enquanto faker é utilizada em 2.571.
No código da biblioteca 'colors' foi adicionado o output no console do texto 'LIBERTY LIBERTY LIBERTY' e um loop infinito, bloqueando o funcionamento de projetos dependentes e apresentando um fluxo de palavras distorcidas 'tesing'. Na biblioteca faker, o conteúdo do repositório foi removido, no commit 'endgame' foram adicionados arquivos .gitignore e .npmignore para excluir arquivos do projeto, e em vez do conteúdo do arquivo README foi colocado a pergunta 'O que realmente aconteceu com Aaron Schwartz'. Os problemas estão presentes nas versões colors 1.4.1+ e faker 6.6.6.
Em resposta às ações realizadas, o GitHub bloqueou o acesso de Marak a seus repositórios (90 públicos + vários privados), enquanto o NPM reverteu a versão maliciosa do pacote. No entanto, a legalidade das ações do GitHub levanta questões, uma vez que a remoção de código por um desenvolvedor de um de seus repositórios não pode ser considerada uma violação das regras do serviço. Além disso, o texto da licença dos pacotes colors e faker claramente indica a ausência de quaisquer garantias e obrigações em relação à funcionalidade do código.
Curiosamente, o primeiro aviso sobre a interrupção do desenvolvimento foi publicado há mais de um ano. Em setembro de 2020, Marak perdeu todos os seus bens devido a um incêndio, e então no início de novembro fez um apelo em tom de ultimato às empresas comerciais que utilizavam seus projetos para financiar a continuidade do desenvolvimento, caso contrário, ele prometeu interromper o suporte, pois não tinha a intenção de trabalhar mais gratuitamente. Antes do incidente, a última versão do colors foi lançada há dois anos, enquanto a última do faker foi lançada há nove meses.
Quanto aos motivos para a inserção de mudanças destrutivas nos pacotes, é provável que Marak esteja tentando dar uma lição às corporações que se beneficiam do trabalho da comunidade de desenvolvedores de software livre, mas não dão nada em troca, ou chamar a atenção para a reavaliação das circunstâncias da morte de Aaron Swartz. Aaron cometeu suicídio após a abertura de um processo criminal contra ele relacionado ao download de artigos científicos de uma base de dados paga chamada JSTOR, defendendo a ideia de acesso livre a publicações científicas. Aaron enfrentou acusações de fraude informática e de obtenção ilegal de informações de um computador protegido, com uma pena máxima de 50 anos de prisão e uma multa de um milhão de dólares (no caso de um acordo judicial e reconhecimento das acusações, ele teria que cumprir 6 meses de prisão).
Acredita-se que Aaron, em meio a uma depressão, não suportou a pressão do sistema judiciário e a injustiça das acusações levantadas contra ele (ele enfrentava 50 anos de prisão apenas por ter baixado o conteúdo de uma base de dados de artigos científicos que, em sua opinião, deveriam ser disseminados sem restrições). Marak Squires, em uma questão publicada em vez do código removido sobre a morte de Aaron e em uma publicação no Twitter, insinua uma teoria da conspiração não confirmada, segundo a qual Aaron Swartz encontrou documentos comprometedores de certas figuras importantes nos arquivos do MIT, e foi assassinado por isso, disfarçando a ocorrência como um suicídio (amanhã fará 9 anos que Aaron nos deixou).
Fonte: opennet.ru
