オープンソースのnpmパッケージ「node-ipc」にロシア在住の開発者を標的にした悪意のあるコードがメンテナーによって追加される

オープンソースで開発される、ウェブアプリのUI構築用JavaScriptフレームワーク「Vue.js」のコードに、ロシアとベラルーシに在住する開発者を標的とした悪意のあるコードが追加されたと、開発者向けセキュリティプラットフォームのSnykが発表しました。メンテナーの1人がロシアのウクライナ侵攻に対する抗議行為として、問題のコードを追加したことがわかっています。 Alert: peacenotwar module sabotages npm developers in the node-ipc package to protest the invasion of Ukraine | Snyk https://snyk.io/blog/peacenotwar-malicious-npm-node-ipc-package-vulnerability/ Sabotage: Code added

[hogeaegxa]

オプソつっても、仕事でやってるの以外の大半はコア開発者なんて一人なんだから、それが自分の意思でウイルス仕込んだら終わりだわな

[kikai-taro]

クリフォード・ストールの『カッコウは…』を読んで、よく考えるべき。こういう信頼性の揺らぎが、商業主義の過度な介入を呼ぶことになる。それでなくたって、既に十分に生臭いのに。

[nilab]

「Vue.jsなどの多くのプロジェクトに依存されている」「node-ipcやes5-extのように、プロジェクトと関係なく政治的な抗議メッセージを埋め込まれたソフトウェアは「protestware」と呼ばれている」

[Itisango]

面倒臭い

[strawberryhunter]

たくさんの人を混乱させているので有罪。

[zoning]

正義を担いたい欲求に人は弱く、OSSはその影響を受けやすいということだろうか

[tybalt]

オープンソースはたくさんの人がテストしているから安全という考え方に対して、それではテストができないほどパッケージが細分化されたらどうなるか。npm に関しては全部テストするのは難しそう。

[endo_5501]

こういうのはちょっと違うと思う

[jt_noSke]

そういう行動はやめようよ

[lifeisadog]

最初の一文が非常に紛らわしい

[yaminusi]

protestware = プログラマの対処能力を試すソフト?

[toaruR]

クソを混ぜるな(´・ω・｀)