Le comité FESCo (Fedora Engineering Steering Committee), responsable de la partie technique du développement de Fedora Linux, a décidé de retirer du dépôt Rawhide les paquets liés à l'environnement de bureau Deepin en raison de problèmes de maintenance. L'équipe chargée de préparer les releases de Fedora est instruite de ne pas restaurer ces paquets, en cas de demande du groupe deepinde-sig, sans une nouvelle vérification. La version automnale de Fedora Linux 45 sortira sans le support de Deepin.
La raison de cette suppression est l'absence d'activité dans le groupe de maintenance deepinde-sig et le caractère abandonné des paquets, restés pendant longtemps sans correction de bogues sérieux et supposément présentant des vulnérabilités non corrigées. Certains des bogues non résolus ont conduit à des problèmes de compilation à partir des sources (FTBFS) ou à des échecs d'installation (FTI).
Il y a un mois, les membres de FESCo ont décidé de reporter la suppression des paquets et ont tenté de contacter les mainteneurs des paquets Deepin pour clarifier l'état du projet. Les développeurs ont réussi à joindre le principal mainteneur, qui a expliqué qu'il n'était pas contre la suppression des paquets du dépôt, car tous les membres du groupe deepinde-sig sont trop occupés par leur travail principal et n'ont pas le temps de continuer la maintenance des paquets Deepin pour Fedora, et les tentatives d'attirer de nouveaux mainteneurs n'ont pas abouti.
Il y a un an, les paquets de Deepin ont été supprimés des dépôts openSUSE en raison du fait que le mainteneur de Deepin a tenté de contourner les règles de révision des paquets adoptées par openSUSE et, sans en informer l'équipe responsable de la sécurité, a placé dans le dépôt un paquet « deepin-feature-enable », qui installait des composants supplémentaires non vérifiés et contenant des problèmes de sécurité non corrigés. Si l'utilisateur confirmait l'opération, en contournant les mécanismes standard d'installation des composants système, l'extraction de fichiers de configuration D-Bus supplémentaires et des politiques Polkit se faisait dans les répertoires système à partir d'archives tar incluses dans les paquets deepin-daemon-dbus et deepin-daemon-polkit. Pour Fedora, de telles manipulations n'ont pas été effectuées, mais il n'y avait pas d'exigences de révision obligatoire en matière de sécurité pour les services D-Bus et les politiques Polkit (certains composants de Deepin n'avaient pas été examinés par le SUSE Security Team et le mainteneur des paquets dans openSUSE avait organisé leur installation par contournement).
Source : opennet.ru
