{"id":102934,"date":"2022-01-10T15:36:46","date_gmt":"2022-01-10T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d1%80%d0%b0%d0%b7%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%87%d0%b8%d0%ba-%d0%b2%d0%bd%d1%91%d1%81-%d0%b4%d0%b5%d1%81%d1%82%d1%80%d1%83%d0%ba%d1%82%d0%b8%d0%b2%d0%bd%d1%8b%d0%b5-%d0%b8%d0%b7%d0%bc%d0%b5"},"modified":"2022-01-10T15:36:46","modified_gmt":"2022-01-10T13:36:47","slug":"%d1%80%d0%b0%d0%b7%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%87%d0%b8%d0%ba-%d0%b2%d0%bd%d1%91%d1%81-%d0%b4%d0%b5%d1%81%d1%82%d1%80%d1%83%d0%ba%d1%82%d0%b8%d0%b2%d0%bd%d1%8b%d0%b5-%d0%b8%d0%b7%d0%bc%d0%b5","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/%d1%80%d0%b0%d0%b7%d1%80%d0%b0%d0%b1%d0%be%d1%82%d1%87%d0%b8%d0%ba-%d0%b2%d0%bd%d1%91%d1%81-%d0%b4%d0%b5%d1%81%d1%82%d1%80%d1%83%d0%ba%d1%82%d0%b8%d0%b2%d0%bd%d1%8b%d0%b5-%d0%b8%d0%b7%d0%bc%d0%b5","title":{"rendered":"Utvecklaren gjorde destruktiva \u00e4ndringar i NPM-paketen colors och faker, som anv\u00e4nds i 20 000 projekt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Marak Squires, f\u00f6rfattaren bakom de popul\u00e4ra paketen colors (konsolef\u00e4rger f\u00f6r node.js) och faker (generatorsystem f\u00f6r fiktiva data i indataf\u00e4lt), som har 2,8 och 25 miljoner veckovisa nedladdningar, har publicerat nya versioner av sina produkter i NPM-repositoriet och p\u00e5 GitHub, som inneh\u00e5ller destruktiva \u00e4ndringar avsedda att orsaka fel under sammanst\u00e4llning och k\u00f6rning av beroende projekt. Som resultat av Maraks \u00e5tg\u00e4rder har m\u00e5nga projekt, inklusive AWS CDK, som anv\u00e4nder de angivna biblioteken, p\u00e5verkats - biblioteket colors anv\u00e4nds som beroende i 18953 projekt, medan faker anv\u00e4nds i 2571. <\/p>\n
I koden f\u00f6r biblioteket \u201ccolors\u201d har texten \u201cLIBERTY LIBERTY LIBERTY\u201d lagts till i konsolen, samt en o\u00e4ndlig loop som blockerar beroende projekts funktion och genererar ett fl\u00f6de av f\u00f6rvr\u00e4ngda ord \u201ctesing\u201d. I biblioteket faker har inneh\u00e5llet i repot tagits bort, i commit \u201cendgame\u201d har .gitignore och .npmignore filer lagts till f\u00f6r att exkludera projektfiler, och ist\u00e4llet f\u00f6r inneh\u00e5llet i README-filen har en fr\u00e5ga placerats: \u201cVad h\u00e4nde egentligen med Aaron Schwartz?\u201d. Problemen finns i versioner av colors 1.4.1+ och faker 6.6.6.
<\/center> <\/p>\n
Som svar p\u00e5 dessa handlingar blockerade GitHub Maraks \u00e5tkomst till sina repositorier (90 offentliga + flera privata), och NPM rullade tillbaka den skadliga versionen av paketet. Samtidigt v\u00e4cker legitimiteten av GitHubs \u00e5tg\u00e4rder fr\u00e5gor, eftersom en utvecklare inte kan anses ha brutit mot tj\u00e4nstens regler genom att ta bort kod fr\u00e5n ett av sina egna repositorier. Dessutom anges det tydligt i licenstexten f\u00f6r paketen colors och faker att det inte finns n\u00e5gra garantier eller skyldigheter avseende kodens funktionalitet. <\/p>\n
Det \u00e4r intressant att den f\u00f6rsta varningen om att utvecklingen skulle upph\u00f6ra publicerades f\u00f6r mer \u00e4n ett \u00e5r sedan. I september 2020 f\u00f6rlorade Marak alla sina tillg\u00e5ngar p\u00e5 grund av en brand, varefter han i b\u00f6rjan av november p\u00e5 ett ultimatum- s\u00e4tt uppmanade kommersiella f\u00f6retag som anv\u00e4nder hans projekt att finansiera fortsatt utveckling, annars lovade han att avsluta supporten, eftersom han inte var villig att arbeta gratis l\u00e4ngre. Innan incidenten sl\u00e4pptes den senaste versionen av colors f\u00f6r tv\u00e5 \u00e5r sedan, och faker - f\u00f6r nio m\u00e5nader sedan. <\/p>\n
N\u00e4r det g\u00e4ller motivet bakom de destruktiva f\u00f6r\u00e4ndringar som inf\u00f6rdes i paketen, tycks Marak f\u00f6rs\u00f6ka ge en l\u00e4xa till f\u00f6retag som utnyttjar arbetet fr\u00e5n det fria mjukvarusamh\u00e4llet utan att ge n\u00e5got tillbaka, eller att dra uppm\u00e4rksamhet till en ompr\u00f6vning av omst\u00e4ndigheterna kring Aaron Swartzs d\u00f6d. Aaron tog sitt liv efter att ha \u00e5talats f\u00f6r brott relaterade till kopiering av vetenskapliga artiklar fr\u00e5n den betalda databasen JSTOR, d\u00e4r han f\u00f6respr\u00e5kade id\u00e9n om fri tillg\u00e5ng till vetenskapliga publikationer. Aaron st\u00e4lldes inf\u00f6r anklagelser f\u00f6r datorbedr\u00e4geri och olaglig \u00e5tkomst av information fr\u00e5n en skyddad dator, d\u00e4r det h\u00f6gsta straffet kunde uppg\u00e5 till 50 \u00e5rs f\u00e4ngelse och b\u00f6ter p\u00e5 en miljon dollar (om ett domstolsavtal ingicks och han erk\u00e4nde anklagelserna skulle Aaron f\u00e5tt avtj\u00e4na 6 m\u00e5nader i f\u00e4ngelse). <\/p>\n
Det anses att Aaron, mot bakgrund av depression, inte stod emot trycket fr\u00e5n r\u00e4ttssystemet och or\u00e4ttvisorna i de mot honom riktade anklagelserna (han hotades med 50 \u00e5rs f\u00e4ngelse bara f\u00f6r att han hade laddat ner inneh\u00e5llet fr\u00e5n en databas med vetenskapliga artiklar, som han menade borde spridas utan restriktioner). Marak Squires antyder i en publicerad fr\u00e5ga ang\u00e5ende Aarons d\u00f6d, ist\u00e4llet f\u00f6r den borttagna koden, och i en tweet, en ogrundad konspirationsteori d\u00e4r det p\u00e5st\u00e5s att Aaron Swartz hade funnit dokument som kunde p\u00e5verka vissa viktiga personer i MIT:s arkiv, och att han d\u00e4rf\u00f6r blev m\u00f6rdad, camouflerat som sj\u00e4lvmord (imorgon \u00e4r det 9 \u00e5r sedan Aaron gick bort). \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Utvecklaren](\"\/wp-content\/uploads\/2022\/01\/bc0419ba085022b07c360deb3b1a9de5.jpg\")
<\/center> <\/p>\n