오픈 소스 개발자가 자신의 앱 2개를 Nuking하여 큰 혼란을 일으켰습니다.

엄청나게 인기 있는 두 개의 오픈 소스 NPM 코딩 라이브러리 뒤에 있는 괴짜 개발자는 최근 일련의 기이한 업데이트로 두 라이브러리를 모두 손상시켰습니다 .

Marak Squires는 인기 있는 JavaScript 라이브러리 Faker 및 Colors 의 제작자입니다. 이러한 라이브러리 는 다양한 코딩 프로젝트에서 개발자를 위한 핵심 도구입니다. 이것이 얼마나 널리 사용되는지에 대한 아이디어를 제공하기 위해 Colors 는 일주일에 2천만 건 이상의 다운로드를, Faker는 약 2백만 건의 다운로드를 받는 것으로 알려졌습니다. 충분히 활용도가 높습니다.

그러나 Squires는 최근 라이브러리를 혼란에 빠뜨리는 수많은 악성 업데이트를 실행했을 때 모든 것을 엉망으로 만들기로 한 기괴한 결정을 내렸습니다 . Colors의 경우 Squires는 소스 코드가 끝없는 반복 루프를 실행하도록 하는 업데이트를 보냈습니다. 이로 인해 앱을 사용하는 앱이 "Liberty Liberty Liberty"라는 텍스트를 내보낸 다음 의미 없고 왜곡된 데이터가 넘쳐나면서 효과적으로 기능을 손상시켰습니다. 한편, Faker와 함께 최근에 라이브러리의 전체 코드를 기본적으로 핵으로 만드는 새로운 업데이트가 도입되었습니다. Squires는 이후에 더 이상 "무료"로 프로그램을 유지하지 않을 것이라고 발표했습니다.

두 프로그램에 의존하는 개발자들을 패닉 모드로 몰아넣은 전체 에피소드 는 오픈 소스 보안 회사인 Snyk 와 BleepingComputer 의 연구원 들이 처음으로 관찰 한 것으로 보입니다 .

해당 소스에 따르면 약 20,000개의 코딩 프로젝트가 작업을 위해 이러한 라이브러리에 의존하고 있으며 최근 커밋의 결과로 많은 프로젝트가 이제 사실상 "브릭(bricked)" 상태가 되었습니다. ("브릭킹"은 소프트웨어 문제 또는 기타 손상으로 인해 하드웨어가 손상되어 사용할 수 없게 되는 기술 용어입니다.)

이 전체 에피소드에서 가장 당혹스러운 점은 Squires가 왜 이렇게 했는지 완전히 명확하지 않다는 것입니다. 일부 온라인 평론가들은 그가 2020년에 게시한 블로그 게시물 에서 이 결정을 자신과 같은 개발자의 오픈 소스 코드 사용에 대한 대기업의 비난으로 돌렸습니다. 미국 기업이 무료로 사용할 수 있는 코딩 도구 를 활용하여 재정적 여유를 줄이는 경향이 있는 것은 사실이지만 (예를 들어 최근 log4j 사태 를 보세요), 오픈 소스 코더라면 표면적으로 알고 예상할 것입니다.

실제로 Squires가 라이브러리를 급습한 방식은 간단한 설명을 무시하는 것 같습니다. 우선, 라이브러리를 엉망으로 만든 커밋에는 Faker 업데이트의 경우 Aaron Swartz를 참조한 이상한 텍스트 파일이 수반되었습니다. Swartz는 2013년 자신의 아파트에서 명백한 자살로 숨진 채 발견 된 유명한 컴퓨터 프로그래머입니다 . Squires는 또한 악의적인 커밋 시기에 Swartz에 대해 여러 가지 이상한 공개 참조를 만들었습니다.

“NPM은 faker.js 패키지의 이전 버전으로 되돌아갔고 Github은 모든 공개 및 비공개 프로젝트에 대한 액세스를 일시 중단했습니다. 100개의 프로젝트가 있습니다. #AaronSwartz "라고 Squires는 1월 6일 트윗했습니다. 대량 벽돌 쌓기에 대한 뉴스가 나오기 며칠 전에 Squires는 Swartz에 대해 트윗 했으며 최근 유죄 판결을 받은 성매매범 Ghislaine Maxwell과 그의 죽음을 연결 하는 Reddit 스레드를 공유했습니다 .

최근 사건의 전환은 또한 2020년에 "Marak Squires"가 소유한 Queens 아파트 건물에서 화재가 발생하여 수사관들이 수제 폭탄을 발견했을 때 Squires가 무모한 위험에 처한 혐의로 기소된 동일한 사람인지에 대한 온라인 추측을 촉발했습니다. - 재료를 만드는 것. 많은 사람들이 월요일에 이 사건에 대한 Squires의 명백한 연관성에 대해 다음과 같이 논평했습니다. "개인적으로 이 사건 이후 가능할 때마다 내 프로젝트에서 Marak의 모든 것을 제거하기 시작 했습니다 . 폭탄' 에피소드. "그 친구는 안정적이지 않고, 나는 그의 코드를 어떤 것에도 신뢰하지 않을 것입니다." 그러나 기즈모도는 폭탄-스콰이어와 코딩-스콰이어가 하나이고 동일하다는 독립적인 확증을 찾지 못했습니다.

어쨌든 그것은 매우 이상한 이야기이며 현시점에서 특별히 해결되지 않은 것 같습니다. 따라서 우리는 Squires에 의견을 요청했으며 그가 응답하면 이 이야기를 업데이트할 것입니다.