【ソフトウェア】オープンソース開発者が広く使用されている自分のライブラリを改ざん、大量のプロジェクトに影響 [すらいむ★]

**すらいむ ★** · 2022/01/11(火) 11:05:30.84

オープンソース開発者が広く使用されている自分のライブラリを改ざん、大量のプロジェクトに影響

　開発者Marak Squires氏が、広く使用されている自分自身が作成したオープンソースライブラリ"faker.js"と"color.js"を意図的に破損させ、これらのライブラリに依存している多数のプロジェクトが影響を受けているとBleepingComputerが報じています。

　不正なライブラリは「LIBERTY LIBERTY LIBERTY」という3行のテキストを出力するほか、奇妙な文字や記号を無限に出力するようになるとのこと。
　BleepingComputerはこの動作が、ライブラリの開発者Marak Squires氏が意図的に行った悪質なコミットが原因であることをつきとめます。

（以下略、続きはソースでご確認ください）

ソフトアンテナ　2022.01.10
https://softantenna.com/blog/developer-corrupts-his-own-widely-used-library/

**名無しのひみつ** · 2022/01/11(火) 11:08:08.92

>>1
オープンソースなんだから以前の版を使えば良いだろ
そこからフォークしても良いし…

**名無しのひみつ** · 2022/01/11(火) 11:11:54.21

アルディーノとかラズパイのＯＳをダウンロードする時、
「寄付してもええんやで」
って感じのメッセージが出る事あるが、
あんまりにもタダで落とす奴が多すぎて、
報われない事に嫌気がさした、とか？

だったらちょっと申し訳ない気分になる。

**名無しのひみつ** · 2022/01/11(火) 11:17:54.56

>>2
みんな他力本願だから簡単にメンテ引き継ぐやつなんかおらんよ

opensslやlog4jみたいな有名オープンソースがセキュリティホール何年も放置されてたのが証拠

誰かが見てるようで誰も見てないw

**名無しのひみつ** · 2022/01/11(火) 11:18:55.93

自民と創価が連立をするワケ

自民党政府が公共事業の発注→創価学会系企業で中抜き→一般人を安値で労働させる

そして中抜きの一部が政治家へ戻り、選挙資金になる🤤

これが続けば、税金は上がり給料は減り続ける

オリンピック中抜きのパソナも天理の談合太陽光も不正融資太陽光もアベノマスクも全て創価学会🤗🤗
https://i.imgur.com/ddwKRh0.jpg
https://i.imgur.com/YawxIN8.png
https://i.imgur.com/4p7R7Vm.jpg
https://i.imgur.com/eGk314S.png
https://i.imgur.com/NbSy0Yt.png
https://i.imgur.com/ugRHdGY.jpg

**名無しのひみつ** · 2022/01/11(火) 11:19:17.18

そろそろ無償のオープンソースの時代は終わりそう
タダ乗りしすぎたんだ

**名無しのひみつ** · 2022/01/11(火) 11:19:47.93

キチガイは殺処分で

**名無しのひみつ** · 2022/01/11(火) 11:22:13.45

自分の信用失うだけじゃん

**名無しのひみつ** · 2022/01/11(火) 11:24:39.34

オープンソースのコミッタ不足してるもんな
潰れるプロジェクトも沢山出てきてるね

**名無しのひみつ** · 2022/01/11(火) 11:27:04.19

とうとう狂っちまいやがったか！

**名無しのひみつ** · 2022/01/11(火) 11:28:39.58

ただのお人よしだったみたいな話か

**名無しのひみつ** · 2022/01/11(火) 11:29:37.64

基本更新頻度が高いライブラリしか使わないようにしてるけどXvim2が使えなくなりそうで心配
あれが終わるとキツイ

**名無しのひみつ** · 2022/01/11(火) 11:31:57.01

皆が開発からコピペに移行した結果がこれ

**名無しのひみつ** · 2022/01/11(火) 11:34:13.37

そもそもFakerなんて文字通り示した働きしてるじゃないか
お前ら皆騙されてたんだよ…

**名無しのひみつ** · 2022/01/11(火) 11:56:07.33

俺が中国人とロシア人のソフトやライブラリ極力排除してる理由はコレ。
ある日突然、コトが起こったのと同時に政府から強制されたどんな「修正」を送り込まれるか分かったもんじゃない。

**名無しのひみつ** · 2022/01/11(火) 11:58:51.71

>>6
責任ゼロだから作りたいって感覚もあると思うよ
まぁそのつもりで作ってたら使う人が増え過ぎて
気付いたら義務になってて馬鹿らしくなったのが>>1なんだろうけど

自分もアプリ公開してるけど有料にしたくないから広告だけにしてるわ
有料にすると責任が発生する感じがして

**名無しのひみつ** · 2022/01/11(火) 12:00:00.26

>>15
こいつはロシア人なの？中国人ではなさそうだけど。

**名無しのひみつ** · 2022/01/11(火) 12:06:00.58

影響は限定的だろ？
動作確認を完了した時点で、使用した
ライブラリ含めてコードフリーズ
しているはずだから、そのときの
ソースを使えば良いだけ

ろくに確認もせず、外から引っ張った
ライブラリを無条件で更新するバカは
さすがに職業プログラマにはいないだろ
故意じゃなくても、更新で不具合が
生じるなんて普通にあるんだから

**名無しのひみつ** · 2022/01/11(火) 12:07:18.73

note.com/takahiroyte/n/nd6cceae3af04
らしい

**名無しのひみつ** · 2022/01/11(火) 12:10:22.02

>>14
ググっただけだが
自動でランダムに大量のモックデータを生成するものらしい。
そう違和感がある名前でもなさそう。

**名無しのひみつ** · 2022/01/11(火) 12:12:47.43

>>18
中身については全く知らないけどそんな単純ではないんちゃうの

他のライブラリに依存してたら、そっちのライブラリに大きい変更があったら更新する必要があったりするけど
開発者が一人で対応してるOSSだと誰も対応できない
誰でも触れるから直せば良いと言っても誰も無償でなんてやりたがらないし

今回の件がそういうものを含んでるのかは知らんけど

**名無しのひみつ** · 2022/01/11(火) 12:13:59.35

依存関係のチェーンがあると思うけど
その中でこのライブラリを
チェックせずに使う事にしたり、
Version指定せずに
latestを使うようにしてたソフトが
一番問題ある。
問題があるのは
これによって影響を受けている使う側の方なんだけど

**名無しのひみつ** · 2022/01/11(火) 12:14:26.60

>>16
同感
でもフリーはフリーでユーザにワガママな要望が多くてうんざりすることもある

百円でも課金したほうが上質なユーザに絞り込めて
ほどほどの責任感とモチベーション続いたこともあったよ

**名無しのひみつ** · 2022/01/11(火) 12:16:04.11

>>22
完全性をオープンソースに要求するのかw

**名無しのひみつ** · 2022/01/11(火) 12:16:34.92

>>17
このケースは単なる開発者の個人的なプッツンぽい。
こないだのUAParserのケースではハッキングされてやばいの仕込まれてた。

ハッキングとか開発者のプッツンは避けようがないが、
強権国家が自国の開発者・開発会社への強制するパターンは
そういう国のソフトを選択しなければ避けられるから、手の届く範囲でリスク管理したいって話。

**名無しのひみつ** · 2022/01/11(火) 12:16:40.14

自前で作る時代に戻る

**名無しのひみつ** · 2022/01/11(火) 12:17:46.18

ぜんぜん寄付が集まらないなら
ライバル企業が敵対するプロジェクトを買収することだって簡単にできるね

**名無しのひみつ** · 2022/01/11(火) 12:18:56.05

>>26
そういう方向性をみんな考えるんだろうけど、
製造コストも管理コストも現実的じゃないわなぁ

どうなるんやろな。。。

**名無しのひみつ** · 2022/01/11(火) 12:24:48.96

>>24
そんなものを要求する内容を書いた覚えはないけど
ただ、使う方のバグだよ

**名無しのひみつ** · 2022/01/11(火) 12:27:06.86

OSSも、ひとつの曲がり角に差し掛かってる事を示す
エポックメイキングな事件かもな。

たぶん、寄付しない奴はアクセス不能になるな。

**名無しのひみつ** · 2022/01/11(火) 12:28:19.48

>>29
すまん
使う方って組み込む側のオープンソースコードの開発者と勘違いしちまってた

**名無しのひみつ** · 2022/01/11(火) 12:34:06.89

>>8
信用だけで人は生きられない
世界中から批判されてもスキルを買ってくれる1社が見つかれば勝ちでしょ

**名無しのひみつ** · 2022/01/11(火) 12:34:26.29

＞なんと、作者のmarak氏が住むアパートメントが火事になり、ほぼすべてを失ってしまったらしい。
＞paypalやBitcoinを通しての寄付を募っていた。これが2020年10月26日の出来事である。

**名無しのひみつ** · 2022/01/11(火) 12:36:33.95

>>3
ハード売りの製品はそちらで儲ける

**名無しのひみつ** · 2022/01/11(火) 12:38:31.76

>>33
おお、そうなのか…
>>1の中の記事に書いてないなそれ
その状況で早よ直せバカみたいに言われてキレたんだろうなきっと

**名無しのひみつ** · 2022/01/11(火) 12:42:48.02

この人はすべて自分でやれる訳でも無く、誰かが作ったコードや言語、PC、、、
の「社会インフラ」を利用しているから出来る訳であって人間に起こりがちな
んだが「欲」が出て来たんだろう。オープンソースみたいな世界では無く他の
世界に行くべきだろう。

**名無しのひみつ** · 2022/01/11(火) 12:46:44.85

>>4

暇と金がないとやれないからな。

それに、オープンソースで金にならなければ、そのまま放置される。

オープンソースを使うなら、安定した版とある程度のメンテができる力が必要だな。
他力本願は良くない。

**名無しのひみつ** · 2022/01/11(火) 12:47:49.85

みんな使ってるのが分かってるのに、誰も支援してくれないってボヤいてた奴だな

**名無しのひみつ** · 2022/01/11(火) 13:00:17.98

OSSのコードレビューって適当だからね
性悪説に基づいていない

**名無しのひみつ** · 2022/01/11(火) 13:06:52.16

オープンソースってなんのためにやるんだ
金と名誉のためかね

**名無しのひみつ** · 2022/01/11(火) 13:12:55.57

「無償で自由に」ってライセンスなんだし、「金にならない」と言われてもねぇ
日本だと明らかにユーザーの意図に反するから「不正指令電磁的記録作成罪」か？
「意図に反する」のラインは微妙だけどね。アフィや一定の広告まではセーフかな

あと「使い勝手の良いシンプルなライブラリのDL数」がそのまま自分の実力や努力の反映でもないわ
「無料なら自分で書くより早い」で使ってるだけで、有料ならだれも使わんわって話だったりするし
ユーザーページ見たけどここ一年くらい活動してないし

**名無しのひみつ** · 2022/01/11(火) 13:23:00.45

>>4
log4jのときなんか
開発者が1日20時間以上対応に費やして、その後マスコミのインタビューに答えてたな
なんでボランティアでそこまでやらないといけないのか

**名無しのひみつ** · 2022/01/11(火) 13:34:17.33

他人の物を借りるってのは、そういうことだろ。覚悟してなかったのか？

**名無しのひみつ** · 2022/01/11(火) 13:35:21.35

これってどのあたりに影響するのだろうか
先々週や今日のみずほも？
V2Cは平気？

**名無しのひみつ** · 2022/01/11(火) 14:03:48.92

垢ハックされたんじゃね？知らんけど

**名無しのひみつ** · 2022/01/11(火) 14:17:01.40

開発者には敬意を示さないと嫌がらせされてもしょうがない

**名無しのひみつ** · 2022/01/11(火) 14:33:50.69

>>1
共産主義が正しかったな
誰が全体に貢献してるかなんて一見してわからない

**名無しのひみつ** · 2022/01/11(火) 14:43:12.50

>>16
＞有料にすると責任が発生する感じがして

感じというか間違いなくそう勘違いするヤカラが現れるだろうな
あと自己サイトにフォーラム設置とか絶対に駄目

**名無しのひみつ** · 2022/01/11(火) 14:47:47.62

本人が火事にあった事情とか背景を全く知ろうともせず
的外れな批判をしてる輩がこのスレにもゴロゴロいるからな
何か無料のサービスをリリースしてユーザーが増えると必ず現れるんだよそういう馬鹿な輩が
自分が使ってるツールがそういうものに支えられてることを知らない輩が

あれと似てるわ
某配送業者が再配達になった荷物を投げ捨ててる映像のあの感じ

**名無しのひみつ** · 2022/01/11(火) 15:18:59.01

>>1
読んでないけどGPLが悪いと思います。

**名無しのひみつ** · 2022/01/11(火) 15:43:51.92

本人は良かれと思って作ってたのにユーザーが偉そうでキレたってこと？
クレーマーってどうでもいいことに細かい日本人（A型）特有じゃないんだなぁ・・・

**名無しのひみつ** · 2022/01/11(火) 16:07:08.54

>>48
めっちゃ分かるわw
アプリのレビューで問い合わせフォーム作ってってのが来たことがあるけど一切作る気なし

問い合わせできるようにしとかないとガイドラインでrejectされるから
一応自分のサイトに問い合わせ用のアドレスは載せてるけど
サイトの奥の方の見つけにくい場所に更に問い合わせしにくい雰囲気で載せるようにしてる

**名無しのひみつ** · 2022/01/11(火) 16:09:44.69

今のIT自体がスーパーフレア一発食らえばすべて消えてなくなる一炊の夢にすぎん

**名無しのひみつ** · 2022/01/11(火) 16:18:42.82

自宅が家事になって、自分の取り組んでたものが他人に使われるだけで一円にもならないと思い知ったら、
そりゃプロジェクト放棄したくもなるわ。

**名無し募集中。。。** · 2022/01/11(火) 16:44:11.05

>>54
ソフト屋って海外勢含め意識高い系（笑い）が多いイメージだから
クラファンだかで家が建つぐらいカネを集めるのはチョロそうだけどねー

**名無しのひみつ** · 2022/01/11(火) 18:10:57.00

かねもいらん
めいよもいらん

おれは女が欲しい

**名無しのひみつ** · 2022/01/11(火) 18:33:49.85

松下AIを作ってオープンソースで配ればいいじゃない？
そしたらAIだから少なくとも殴られる事はないと思う
ま、週6の12時間労働は当たり前になりそうだがな

**名無しのひみつ** · 2022/01/11(火) 19:28:06.61

プッツンしちゃったんだろうね、きっと…

**名無しのひみつ** · 2022/01/11(火) 20:44:12.39

>>54
ググったら爆弾作ろうとしてて
それが爆発したせいとか書いてる記事あるけど？

ロイター記事の名前は確かに同じだし同一人物じゃね

faker.jsとcolors.jsの開発者、自宅で爆弾を製造しようとしていた可能性
https://hisubway.online/news/the_faker_js_developer_also_developed_the_bomb/

**名無しのひみつ** · 2022/01/11(火) 23:32:17.37

それ自体一銭の金にもならないことに最初に気付けよというw
就職や転職には有利になるだろうけどさ

**名無しのひみつ** · 2022/01/12(水) 00:02:48.10

性善説では通用しなくなったか

**名無しのひみつ** · 2022/01/12(水) 04:58:22.00

オープンソースなんだから自己責任

**名無しのひみつ** · 2022/01/12(水) 06:31:55.38

昔、ウインドウズ用のlsとか単体売りしてたなあ笑

**名無しのひみつ** · 2022/01/12(水) 08:55:36.58

ただほど高いものはない

**名無しのひみつ** · 2022/01/12(水) 12:35:19.81

>>49
> 的外れな批判をしてる輩

的外れなのは、むしろこのキレた作者（Marak ）の方だよ……
オープンソースがなにかを分かってないでしょ？

そもそも有償にしてもよかったんだし
自分が作ったモノにカネという形で価値を与えるのは、正しい経済行為だしね
それを無償で提供すれば利用者は増えるさ、タダなんだから

そうやってるうちに自分が災難にあった、でも支援してもらえない
そんなことでキレるなら、子供（ガキ）の対応だよ

オープンソースの意義はソースコードを共有すること
オープンソースプロジェクトは、その資産を守りたい人たちの無償の奉仕活動でしかない

それを恵んでもらえないとか、文句ばかり言われるとか……
なにか勘違いしてたとしか思えないけどなあ

**名無しのひみつ** · 2022/01/12(水) 15:05:10.29

しょせんオープンソースはリチャード・ストールマンについていけなくなった敗残者の群れだからｗ

**名無しのひみつ** · 2022/01/12(水) 17:23:43.50

ソフト屋は悪い意味で芸術家意識もっちやったからなあ。

**名無しのひみつ** · 2022/01/12(水) 18:23:19.16

進んで慈善事業できる連中なんて少ないからね

**名無しのひみつ** · 2022/01/25(火) 16:47:28.53

作成者本人が手を加えて改ざんになるんだろうか？
よくわからん。

**名無しのひみつ** · 2022/01/28(金) 14:30:21.21

>>65
自分の保有するソースコードをどのようにしようが勝手だろ？
金払ってないやつにとやかく言われる義務はない

**名無しのひみつ** · 2022/02/11(金) 04:18:46.00

メジャーなライセンスのオープンソースのライブラリ使用するのは「使用する側」に全責任があるんであって、提供側に責任はないがな。

**名無しのひみつ** · 2022/02/11(金) 06:05:00.76

>>4
善意の第3者が埋め込もうとしてるソースが危なっかしい感じがしても
現存するテストを通っちゃうとダメだししにくいんだよね。
OpenSSLみたいに難易度が高くてメンテナーを確保するのが難しいプロジェクトとか
逆に素人の参加で成り立ってるCMSとかEコマースとか
(※ 特定のOSSをディスってるわけじゃありません）

**名無しのひみつ** · 2022/02/11(金) 06:07:22.06

>>65
まぁ、批判はわからなくもないが、
このくらいのことをやる人、プロジェクトが定期的に現れてくれた方が、
オープンソースの品質は上がると思うよ。

**名無しのひみつ** · 2022/02/11(金) 08:33:04.51

諸君の多くはフリーソフトウェアとかオープンソフトウェアが
無料のソフトを意味しないことを知らなかったりするのだ。

ソフトウェアの中身が完全に公開されていることが「フリー」とか「オープン」
という言葉なのであって、タダ・無料であるかどうかはまた別の話なのに。

**名無しのひみつ** · 2022/02/11(金) 10:14:45.45

「Free Software（フリー・ソフトウェア）」の正しい日本語翻訳は、
「無料のソフトウェア」ではなくて「自由なソフトウェア」なのだ。

**名無しのひみつ** · 2022/02/11(金) 10:26:12.43

>Free software - FSF:Free Software Foundation, Inc
Free software is software that gives you the user the freedom to share, study and modify it.
We call this free software because the user is free.

>freeware - Oxford Languages
/ˈfriːwɛː/
software that is available free of charge.

**名無しのひみつ** · 2022/02/11(金) 10:45:31.80

金払えよw

**名無しのひみつ** · 2022/02/11(金) 19:50:30.21

金を払っても常に出来損ないで、毎月数ギガバイトサイズのアップデートファイルを
ユーザーのコストでダウンロードして適用することが必要なソフトというものは
大手の商品にもあるからな。

**名無しのひみつ** · 2022/02/12(土) 22:46:35.31

クラファンにするという手もあるしある程度は報われてほしいな
オープンソースやってる人

**名無しのひみつ** · 2022/02/14(月) 19:40:12.84

「改ざん」の定義がわからん
自分のファイル好きに直してるだけだろ

マスコミから各種blogに至るまで日常茶飯事だろ？

改ざんしたことがないかのような>>1の記事の高飛車っぷりに反吐が出る

**名無しのひみつ** · 2022/03/13(日) 17:15:27.53

オプソは大なり小なり結構ぶちギレてるな
バグでも要望でも既出を大量に送ってくるなとか

**名無しのひみつ** · 2022/03/13(日) 18:58:19.49

ソース公開でも非公開でも、金銭利益が生じることに使うのなら有料だよ？と
条件付けてる人は多い。そういう条件が付いているのなら大企業がただ乗りするのは駄目だ。

**名無しのひみつ** · 2022/03/15(火) 06:03:57.95

New Linux bug gives root on all major distros, exploit released
March 7, 2022
www.bleepingcomputer.com/news/security/new-linux-bug-gives-root-on-all-major-distros-exploit-released/