Der FESCo-Ausschuss (Fedora Engineering Steering Committee), der für den technischen Teil der Fedora Linux-Entwicklung zuständig ist, hat beschlossen, die Pakete, die mit der Desktop-Umgebung Deepin verbunden sind, aus dem Rawhide-Repository zu entfernen, da es Probleme mit deren Wartung gibt. Dem Team, das für die Erstellung der Fedora-Versionen verantwortlich ist, wurde vorgeschrieben, diese Pakete nicht wiederherzustellen, falls eine Anfrage von der Gruppe deepinde-sig eingeht, ohne eine erneute Überprüfung durchzuführen. Die Herbstversion von Fedora Linux 45 wird ohne Unterstützung für Deepin veröffentlicht.
Der Grund für die Entfernung war die fehlende Aktivität in der Betreuergruppe deepinde-sig und der vernachlässigte Zustand der Pakete, die bereits längere Zeit schwerwiegende Fehler unbehoben lassen und vermutlich unerkannte Sicherheitslücken aufweisen. Einige der unbehebbaren Fehler führten zu Problemen beim Kompilieren aus dem Quellcode (FTBFS) oder zu Installationsfehlern (FTI).
Vor einem Monat entschied FESCo, die Entfernung der Deepin-Pakete aufzuschieben und kontaktierte die Betreuer der Pakete, um den Stand des Projekts zu klären. Die Entwickler konnten den Hauptbetreuer erreichen, der erklärte, dass er mit der Entfernung der Pakete aus dem Repository einverstanden sei, da alle Mitglieder der Gruppe deepinde-sig mit ihrer Hauptarbeit überlastet sind und keine Zeit haben, die Pakete mit Deepin für Fedora weiter zu betreuen. Versuche, neue Betreuer zu gewinnen, waren erfolglos.
Vor einem Jahr wurden die Pakete mit Deepin aus den openSUSE-Repositorien entfernt, da der Betreuer von Deepin versuchte, die in openSUSE geltenden Regeln zur Überprüfung von Paketen zu umgehen. Ohne das Sicherheitsteam zu informieren, stellte er das Paket „deepin-feature-enable“ im Repository zur Verfügung, das zusätzliche Komponenten installierte, die nicht überprüft und mit ungeklärten Sicherheitsproblemen behaftet waren. Wenn der Benutzer die Operation bestätigte, wurden über die regulären Installationsmechanismen hinaus Konfigurationsdateien von D-Bus und Polkit-Richtlinien aus tar-Archiven entpackt, die in den Paketen deepin-daemon-dbus und deepin-daemon-polkit enthalten waren. In den Fedora-Paketen fanden solche Manipulationen nicht statt, jedoch gab es auch keine Anforderungen an eine obligatorische Sicherheitsüberprüfung der D-Bus-Dienste und Polkit-Richtlinien (einige Deepin-Komponenten wurden nicht von der SUSE Security Team überprüft, und der Paketbetreuer in openSUSE organisierte deren Installation auf Umwegen).
Quelle: opennet.ru
