openSUSE abandonne Deepin en raison de l'installation de composants non sécurisés contournant RPM

Les développeurs du projet openSUSE ont annoncé la suppression des packages avec le bureau Deepin du référentiel en raison d'une violation des règles du projet concernant le contrôle de sécurité des packages hébergés. Il a été découvert que le mainteneur de Deepin a tenté de contourner les directives de révision des paquets d'openSUSE et, sans en informer l'équipe de sécurité, a poussé le paquet « deepin-feature-enable » vers le référentiel. Le package a été publié en avril 2021 et comprenait des fonctionnalités visant à installer des composants supplémentaires qui n'avaient pas été testés et contenaient des problèmes de sécurité non résolus.

Le package affiche une boîte de dialogue permettant à l’utilisateur de confirmer son accord avec les termes de la licence. Les conditions stipulaient qu'un certain nombre de composants nécessaires au bon fonctionnement de Deepin n'étaient pas inclus dans le référentiel officiel en raison de préoccupations concernant leur sécurité parmi les développeurs d'openSUSE. Si l'utilisateur exprimait sa volonté de compromettre la sécurité et acceptait la licence, des fichiers de configuration D-Bus supplémentaires et des politiques Polkit étaient décompressés dans des répertoires système à partir des archives tar incluses dans les packages deepin-daemon-dbus et deepin-daemon-polkit. L'opération a été réalisée en contournant les mécanismes standard d'installation des composants système fournis par le gestionnaire de packages RPM.

La boîte de dialogue d'acceptation du contrat de licence comprenait également des instructions demandant à l'utilisateur d'installer manuellement les packages depin-file-manager-dbus et deepin-file-manager-polkit, puis d'exécuter un script pour télécharger des fichiers de configuration supplémentaires requis pour le fonctionnement du service Deepin File Manager D-Bus.

Les règles openSUSE exigent que les responsables installent les fichiers de configuration du service D-Bus et les politiques Polkit uniquement après qu'ils ont été examinés pour des raisons de sécurité par les membres de l'équipe de sécurité SUSE et mis sur liste blanche comme composants acceptables. Certains de ces composants Deepin ont été testés et inclus dans les packages standards, mais certains composants ont été renvoyés pour révision en raison de problèmes de sécurité identifiés. Les problèmes n’ont pas été correctement traités et les composants souhaités n’ont pas été approuvés pour inclusion. Au lieu de résoudre les problèmes, le mainteneur de Deepin a poussé les composants problématiques par un chemin détourné.

L'équipe de sécurité SUSE ne recommande pas d'utiliser Deepin pour le moment en raison de problèmes de sécurité non résolus et de la mauvaise culture de sécurité globale du projet. Tous les packages Deepin seront supprimés du référentiel openSUSE Tumbleweed et ne seront pas inclus dans la prochaine version d'openSUSE Leap 16.0. Dans openSUSE Leap 15.6, il a été décidé de supprimer uniquement le package problématique « deepin-feature-enable ». Les utilisateurs souhaitant installer ou continuer à utiliser Deepin sur openSUSE peuvent toujours installer des packages à partir de référentiels distincts : Deepin Factory pour openSUSE Tumbleweed et Deepin Leap pour openSUSE_Leap.

Source: opennet.ru