Il Comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo di Fedora Linux, ha deciso di rimuovere dai repository Rawhide i pacchetti relativi all'ambiente desktop Deepin, a causa di problemi nella loro manutenzione. È stato ordinato al team responsabile della creazione delle versioni di Fedora di non ripristinare questi pacchetti, nel caso venga presentata una richiesta dal gruppo deepinde-sig, senza un nuovo controllo. La versione autunnale di Fedora Linux 45 uscirà senza supporto per Deepin.
La ragione della rimozione è stata l'assenza di attività nel gruppo di manutenzione deepinde-sig e il carattere trascurato dei pacchetti, rimasti per lungo tempo senza correzioni di gravi bug e presumibilmente con vulnerabilità non risolte. Alcuni dei bug irrisolti portavano a problemi nella compilazione da sorgente (FTBFS) o a crash durante l'installazione (FTI).
Un mese fa i membri di FESCo hanno deciso di posticipare la rimozione dei pacchetti e hanno cercato di contattare i manutentori dei pacchetti Deepin per chiarire lo stato del progetto. Gli sviluppatori sono riusciti a contattare il principale manutentore, che ha spiegato di non essere contrario alla rimozione dei pacchetti dal repository, poiché tutti i membri del gruppo deepinde-sig sono troppo occupati con il lavoro principale e non hanno tempo per continuare la manutenzione dei pacchetti Deepin per Fedora, e i tentativi di reclutare nuovi manutentori non hanno avuto successo.
Un anno fa, i pacchetti di Deepin sono stati rimossi dai repository di openSUSE a causa del tentativo del maintainer di Deepin di aggirare le regole di revisione dei pacchetti accettate in openSUSE e, senza informare il team responsabile della sicurezza, ha pubblicato nel repository il pacchetto «deepin-feature-enable», che installava componenti aggiuntivi non verificati e contenenti problemi di sicurezza non risolti. Se l'utente confermava l'operazione, bypassando i meccanismi normali di installazione dei componenti di sistema, venivano estratti nelle directory di sistema file di configurazione aggiuntivi di D-Bus e politiche di Polkit da archivi tar inclusi nei pacchetti deepin-daemon-dbus e deepin-daemon-polkit. Nei pacchetti per Fedora non sono state effettuate simili manipolazioni, ma non c'erano nemmeno requisiti per la revisione obbligatoria della sicurezza dei servizi D-Bus e delle politiche di Polkit (alcuni componenti di Deepin non avevano superato la revisione del SUSE Security Team e il maintainer dei pacchetti in openSUSE ha organizzato la loro installazione in modo alternativo).
Fonte: opennet.ru
