GitHub 著名开源项目作者删库跑路,神秘 Bug 影响超 20000 个项目!

点击上方“Java精选”,选择“设为星标”

别问别人为什么,多问自己凭什么!

下方有惊喜留言必回,有问必答!

每天 08:15 更新文章,每天进步一点点...

“从GitHub上删除自己的代码是违反他们的服务条款的?WTF? 这是一种绑架行为。”

这两天,一些开发者感觉有点懵……

cf6bc78a714a4e28c32d42537cc0d60a.png

一觉醒来发现,自己程序跑出来的全都是「乱码」

3cdce1c07e89d184b5daf166dab42e1c.png

说起来,这些开发者的共同点就是都使用了开源库「colors」「faker」

而且这两个库相当受欢迎!

仅仅在npm上,colors库每周的下载量就超过2000万次,并且有将近19000个项目正在使用。

faker在npm上每周的下载量超过280万次,有超过2500个项目使用。

甚至连亚马逊的云计算开发工具包(aws-cdk)也用上了。

c1eec23523073952761837d832dd1277.png

最初,用户怀疑这些项目所使用的库「colors」「faker」被入侵,类似于去年coa、rc和ua-parser-js库被恶意分子劫持的情况。

看到各种反馈之后,开发者也赶紧发文表示已经在努力「修复」了。

480fe39503a023dbf6ef9d3c1f34b4f6.png

但事实证明,故事并没有这么简单。

4149851039215e7342117f6d5c0672cc.gif

老子,不干了!

事件的开端要从这位名为「Marak Squires」的开发者说起。

近期,Marak在「colors」(GitHub上又名colors.js)加入了v1.4.44-liberty-2,并且发布了「faker」(GitHub上又名faker.js)的6.6.6版本。

稍微对西方有所了解的朋友们很容易就能注意到,这个「666」有些不太对劲啊。

78bd0f2fecf68c9222d1957622778f0c.png

找了一圈发现,网上的图都不太能放……

总之,就是和「恶魔」有着千丝万缕的联系。

而Marak所做的,正是引入了一个无限循环的bug,让数以千计的依赖「color」「faker」的项目直接崩溃。

8e7799b57739a7eb9b907b745b07cc33.png

这些信息包括文本「LIBERTY LIBERTY LIBERTY」,以及在后面跟着的一大串非ASCII字符。

12fe9097fed785af239f9848e8eeb465.png

这些字符也被称为「Zalgo文本」

当然,这又是另一个非常有意思的故事了,感兴趣的朋友可以自己搜一下。

c29fad68368ecab2fa29092a2ea21b4f.png

然而,时间一分一秒地过去了,自己的程序跑不了,项目的开发者也迟迟没有提交解决方案。

开发者们不得不开始自己寻求解决方案。

f811ae55122af58f066c7baae22a373f.png

很快就有人发现,只要回滚到之前的1.4.0版本,问题就解决了。

eaea540f1c257224ebddfc3945eb2c95.png

由此也就可以推断,这个bug很有可能就来自于最新提交的「v1.4.44-liberty-2」。

通过查看项目的历史发现,Marak在v1.4.44-liberty-2版本的colors.js库中添加了一个「新的美国国旗模块」,并将其推送到GitHub和npm。

52184e43511c67a37e90904598e2068f.png

就新的在代码中,有一段无限循环,会让所有使用「colors」的程序在控制台无休止地打印各种非ASCII字符序列。

对于「faker」,Marak除了炸了自己程序之外,还修改了GitHub repo的README页面。

这次,Marak直接摊牌了:endgame

Marak还提到了一个人:亚伦·斯沃茨。写到:「Aaron Swartz到底发生了什么?」

7748f704bbe22d220145ef16df5507ab.png

斯沃茨是一名美国程序员、企业家和著名的黑客活动家,在一场法律诉讼后「自杀」身亡。

为了使所有人都能自由获取信息,这位黑客从麻省理工学院校园网上的JSTOR数据库下载了数百万篇期刊文章,据称他通过反复旋转自己的IP和MAC地址来绕过JSTOR和麻省理工学院设置的技术封锁。

d6fc3aaf8e871cd1b63b5637a651d9d3.png

此前,在2020年11月,Marak就曾警告说,他将不再用他的「免费工作」来支持大公司了,而这些企业应该考虑用每年「六位数」的工资来补偿。

b86b7f3c6593417fc749b3e11f454352.png

「恕我直言,我将不再用我的免费工作来支持财富500强(和其他较小规模的公司)。」

「你们可以把这当作一个机会,给我发一份六位数的年薪合同,或者把这个项目fork之后,让别人来做。」

5bbb5dad7b6517fb2498404616a3c3d6.png

于是,整件事的缘由逐渐明晰了起来,Marak似乎是在报复那些大型企业以及拿着开源项目赚钱的开发者。

他认为,这些人不仅大量地使用开源社区的免费软件,但是对社区又毫无贡献。

敢乱改自己项目?看我封你账号

对Marak的这波迷之操作,开源社区一部分开发者表示理解,另一部分则直接「口吐芬芳芳」

「显然,『colors.js』的作者为没有得到报酬而生气......。所以他决定在每次加载他的库时打印美国国旗......。」

嚯,有点意思啊!(doge)

2fa66bbcccf0e9c0f9948715f0c2e2e1.png

信息安全专家VessOnSecurity称这种行为是「真**的不负责任」。

c41da7f06403cebe086a3ab552bcfe89.png

「如果你对企业免费使用你的免费代码有意见,就不要发布免费代码。通过破坏你自己被开发者广泛使用的项目,你不仅伤害了大企业,也伤害了所有在使用它的人。」

但是有人则认为:

「将代码发布到他们自己的库中,不需要对任何事情负责。如果你不同意我的观点,那么请阅读许可证中的实际法律条文,它没有给出任何保证。如果是不负责任的,那又怎样,他们不需要负责任。」

而GitHub一看,这个Marak怎么能瞎搞自己的项目,封了吧!

0213fb6e48d18d95d0be64bbd8358713.png

NPM已经恢复到faker.js包的前一个版本,Github已经暂停了我对所有公共和私人项目的访问。我有100多个项目。

c8d598439604b60e42628edc7557c738.png

软件工程师Sergio Gómez对此表示非常不理解:「从GitHub上删除自己的代码是违反他们的服务条款的?WTF? 这是一种绑架行为。」

Log4j:用爱发电,还得背锅

Marak的「删库跑路」,不由得让我们想起最近闹得沸沸扬扬的「Log4j事件」。

据火线安全不完全统计,仅在Github上,就有60644个开源项目发布的321094软件包存在风险,这一漏洞可以说是影响了互联网上70%以上企业系统的正常运转。

由于Java应用程序通常会记录各种各样的事件,例如用户发送和接收的消息,或者系统错误的详细信息,因此该漏洞可以通过多种方式触发。

很快,Log4shell漏洞开始出现大规模的恶意利用。

ce4074171caa4fdcfc36c89099b427a3.png

随着越来越多的问题被发现,Log4j的开发者们也不得不开启了假期无偿加班模式,为该项目打补丁。

虽然已经在「不眠不休地进行抢救:修复、文档、CVE、回复咨询了」,然而,依然有一些bug赏金猎人在对Log4j维护者进行围追堵截。

3dd9b3a705f1266c1e728d0699c8db9b.png

Log4j这件事也让更多人开始关注大企业是如何「压榨」开源的问题。

大量的网站、软件和应用程序依靠开源开发者来创造基本的工具和组件,他们不断地消费,却没有给予足够的回报。

而这些「孜孜不倦」地修复着安全问题的开发者们,不仅放弃了自己的闲暇时间,也没有得到任何资金的支持。

网友对此评论道:

「对color.js/faker.js作者破坏他们自己的软件包的反应,恰好也说明了有多少企业开发者认为他们在道德上有权使用开源开发者的无偿劳动,而不用做出任何回报。」

对于开源代码的未来,大概只能等时间来告诉我们吧。

参考资料:

https://www.bleepingcomputer.com/news/security/dev-corrupts-npm-libs-colors-and-faker-breaking-thousands-of-apps/

来源 | 新智元

编辑 | 好困

公众号“Java精选”所发表内容注明来源的,版权归原出处所有(无法查证版权的或者未注明出处的均来自网络,系转载,转载的目的在于传递更多信息,版权属于原作者。如有侵权,请联系,笔者会第一时间删除处理!

------ THE END ------

da1df412fc6f8f16ebb7dd2e59bacc1a.png精品资料,超赞福利!3edbc9b32ef46041d2eb1d68e4b4bdf9.png

>Java精选面试题<
3000+ 道 BAT 大厂面试题在线刷,最新、最全 Java 面试题!

☆ Java进阶学习资料
 Java自学、进阶路线图免费领

a3649c7e4f344e0e7632e7a64095215f.png

e511f0be3b21d83588dd75fbe11e3318.png

期往精选  点击标题可跳转

频频曝出程序员被抓,我们该如何避免面向“监狱”编程?

难道这就是“西安一码通”,再一次崩溃的技术原因?

编辑器 Typora 开始收费,开源免费的 MarkText 火了:一周剧增 2k+star

2021 年编程语言排行榜出炉!有点“小”出乎意外!

Spring Boot + flowable 快速实现工作流,如此 so easy!

资深开发竟然不清楚 int(1) 和 int(10) 的区别

Spring Boot 快速开发利器:Spring Boot CLI

40 岁失业高级码农自曝:阿里 P9,攒了 1.5亿...

eb90d9d3ce308bbe9d74cf10ea9d733a.png技术交流群!8352b7dd69a37f23e4082bd8bc271da8.png

最近有很多人问,有没有读者&异性交流群,你懂的!想知道如何加入。加入方式很简单,有兴趣的同学,只需要点击下方卡片,回复“加群”,即可免费加入交流群!

文章有帮助的话,在看,转发吧!

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值