Utvecklaren gjorde destruktiva ändringar i NPM-paketen colors och faker, som används i 20 000 projekt.

Marak Squires, skaparen av de populära paketen colors (färgning av node.js-konsolen) och faker (generator för dummydata för inmatningsfält), som har 2,8 och 25 miljoner veckoladda nedladdningar, publicerade nya versioner av sina produkter i NPM-repositoriet och på GitHub som inkluderar destruktiva ändringar som avsiktligt leder till fel under bygg- och körningsstadierna för beroende projekt. Som ett resultat av Maraks handlingar har många projekt, inklusive AWS CDK, som använder de angivna biblioteken, slutat fungera — colors-biblioteket används som ett beroende av 18 953 projekt och faker av 2 571.

Koden i biblioteket "colors" fick en utskrift i konsolen av texten "LIBERTY LIBERTY LIBERTY" och en oändlig loop som blockerade arbetet hos beroende projekt och producerade ett flöde av förvrängda ord "tesing". I biblioteket faker togs innehållet i repositoriet bort, och i commit "endgame" lades .gitignore och .npmignore-filer till för att utesluta projektfiler, och istället för innehållet i README-filen lades en fråga upp: "Vad hände egentligen med Aaron Schwartz?" Problemen finns i versionerna colors 1.4.1+ och faker 6.6.6.

Som svar på dessa handlingar blockerade GitHub Maraks åtkomst till sina repositorier (90 offentliga + flera privata), och NPM rullade tillbaka den skadliga versionen av paketet. Samtidigt väcker legitimiteten av GitHubs åtgärder frågor, eftersom en utvecklare inte kan anses ha brutit mot tjänstens regler genom att ta bort kod från ett av sina egna repositorier. Dessutom anges det tydligt i licenstexten för paketen colors och faker att det inte finns några garantier eller skyldigheter avseende kodens funktionalitet.

Intressant nog publicerades den första varningen om att utvecklingen skulle upphöra för mer än ett år sedan. I september 2020 förlorade Marak all sin egendom i en brand, och i början av november utfärdade han ett ultimatum till kommersiella företag som använde hans projekt – att finansiera fortsatt utveckling, annars lovade han att sluta med underhållet, då han inte längre ville arbeta gratis. Före incidenten släpptes den senaste versionen av colors för två år sedan, medan faker var uppdaterad för nio månader sedan.

När det gäller motivet bakom de destruktiva förändringar som infördes i paketen, tycks Marak försöka ge en läxa till företag som utnyttjar arbetet från det fria mjukvarusamhället utan att ge något tillbaka, eller att dra uppmärksamhet till en omprövning av omständigheterna kring Aaron Swartzs död. Aaron tog sitt liv efter att ha åtalats för brott relaterade till kopiering av vetenskapliga artiklar från den betalda databasen JSTOR, där han förespråkade idén om fri tillgång till vetenskapliga publikationer. Aaron ställdes inför anklagelser för datorbedrägeri och olaglig åtkomst av information från en skyddad dator, där det högsta straffet kunde uppgå till 50 års fängelse och böter på en miljon dollar (om ett domstolsavtal ingicks och han erkände anklagelserna skulle Aaron fått avtjäna 6 månader i fängelse).

Det anses att Aaron, mot bakgrund av depression, inte stod emot trycket från rättssystemet och orättvisorna i de mot honom riktade anklagelserna (han hotades med 50 års fängelse bara för att han hade laddat ner innehållet från en databas med vetenskapliga artiklar, som han menade borde spridas utan restriktioner). Marak Squires antyder i en publicerad fråga angående Aarons död, istället för den borttagna koden, och i en tweet, en ogrundad konspirationsteori där det påstås att Aaron Swartz hade funnit dokument som kunde påverka vissa viktiga personer i MIT:s arkiv, och att han därför blev mördad, camouflerat som självmord (imorgon är det 9 år sedan Aaron gick bort).

Källa: opennet.ru