Marak Squires, author of the popular packages colors (console coloring for node.js) and faker (dummy data generator for input fields), with 2.8 and 25 million weekly downloads respectively, has released new versions of his products in the NPM repository and on GitHub that include destructive changes that intentionally cause failures during the build and execution stages of dependent projects. As a result of Marak's actions, many projects have been disrupted, including AWS CDK, which uses the mentioned libraries — the colors library is a dependency for 18,953 projects, while faker is for 2,571.
The code of the 'colors' library has been modified to include console output of the text 'LIBERTY LIBERTY LIBERTY' and an infinite loop that blocks the operation of dependent projects and outputs a stream of distorted words ‘tesing’. The faker library has had its repository content removed, and in the 'endgame' commit, .gitignore and .npmignore files were added to exclude project files, while instead of the README content, the question 'What really happened to Aaron Schwartz?' is posed. Issues exist in versions colors 1.4.1+ and faker 6.6.6.
In response to these actions, GitHub has blocked Marak’s access to his repositories (90 public + several private), and NPM rolled back the malicious version of the package. However, the legality of GitHub's actions raises questions, as a developer's removal of code from one of their own repositories cannot be considered a violation of service rules. Furthermore, the text of the licenses for the colors and faker packages clearly states that there are no guarantees or obligations regarding the functionality of the code.
Interestingly, the first warning about the cessation of development was published more than a year ago. In September 2020, Marak lost all his property in a fire, after which in early November he issued an ultimatum to commercial companies using his projects, demanding funding for the continuation of development; otherwise, he promised to stop maintaining them, as he has no intention of working for free anymore. Before the incident, the last version of colors was released two years ago, while faker was released nine months ago.
Sa i përket motiveve për të futur ndryshime destruktive në paketa, duket se Marak po përpiqet të japë një mësim për korporatat që përfitojnë nga puna e komunitetit të zhvilluesve të softuerit të lirë, por nuk ofrojnë asgjë në këmbim, ose për të tërhequr vëmendjen për rishikimin e rrethanave të vdekjes së Aaron Swartz. Aaron u vetëvra pas ngritjes së një çështjeje penale ndaj tij, lidhur me kopjimin e artikujve shkencorë nga një bazë të dhënash me pagesë, duke mbrojtur idenë e ofrimit të qasjes së lirë në publikimet shkencore. Aaron iu ngritën akuza për mashtrim kompjuterik dhe marrje të paligjshme të informacionit nga një kompjuter i mbrojtur, dënimi maksimal për këto akuza arrinte deri në 50 vjet burg dhe një gjobë prej një milioni dollarësh (nëse marrëveshja gjyqësore paraqitej dhe akuzat pranoheshin, Aaron duhej të kalonte 6 muaj në burg).
Mendohet se Aaron, në sfondin e depresionit, nuk e përballoi presionin e sistemit gjyqësor dhe padrejtësinë e akuzave të ngritura (ai rrezikonte 50 vjet burg vetëm për faktin se kishte shkarkuar përmbajtjen e një baze të dhënash shkencore, e cila sipas tij duhet të shpërndahej pa kufizime). Marak Squires në pyetjen e publikuar në vend të kodit të fshirë, lidhur me vdekjen e Aaron dhe në një postim në Twitter insiston mbi një teori konspirative të pa konfirmuar, sipas së cilës Aaron Swartz kishte gjetur në arkivin e MIT disa dokumente që komprometojnë disa figura të rëndësishme, dhe për këtë e kishin vrarë, duke maskuar atë si një vetëvrasje (nesër do të kalonin 9 vite që Aaron u largua nga jeta).
Burimi: opennet.ru
