Il Comitato FESCo (Fedora Engineering Steering Committee), responsabile della parte tecnica dello sviluppo di Fedora Linux, ha deciso di rimuovere dai repository Rawhide i pacchetti relativi all'ambiente desktop Deepin, a causa di problemi nel loro mantenimento. Al team responsabile delle versioni di Fedora è stato ordinato di non ripristinare questi pacchetti, nel caso venga presentata una richiesta dal gruppo deepinde-sig, senza una loro nuova verifica. La versione autunnale di Fedora Linux 45 uscirà senza supporto per Deepin.
La causa della rimozione è stata l'assenza di attività nel gruppo di manutenzione deepinde-sig e la natura trascurata dei pacchetti, che rimanevano a lungo senza correzioni di gravi bug e presumibilmente presentavano vulnerabilità non risolte. Alcuni di questi errori non risolti portavano a problemi di compilazione da sorgente (FTBFS) o a fallimenti durante l'installazione (FTI).
Un mese fa, i membri di FESCo hanno deciso di rinviare la rimozione dei pacchetti e hanno cercato di contattare i manutentori dei pacchetti Deepin per chiarire lo stato del progetto. Gli sviluppatori sono riusciti a mettersi in contatto con il principale manutentore, il quale ha spiegato che non era contrario alla rimozione dei pacchetti dal repository, poiché tutti i membri del gruppo deepinde-sig sono troppo occupati con il lavoro principale e non hanno tempo per continuare a mantenere i pacchetti Deepin per Fedora, e i tentativi di attirare nuovi manutentori non hanno avuto successo.
Un anno fa, i pacchetti con Deepin furono rimossi dai repository openSUSE poiché il manutentore di Deepin tentò di eludere le regole di revisione dei pacchetti adottate da openSUSE e, senza informare il team responsabile della sicurezza, inserì nel repository il pacchetto "deepin-feature-enable", che installava componenti aggiuntivi non verificati e contenenti problemi di sicurezza irrisolti. Se un utente confermava l'operazione, si procedeva a estrarre file di configurazione aggiuntivi di D-Bus e delle politiche Polkit in directory di sistema da archivi tar inclusi nei pacchetti deepin-daemon-dbus e deepin-daemon-polkit, eludendo i meccanismi standard di installazione dei componenti di sistema. Nei pacchetti per Fedora non si sono verificate tali manovre, ma non c'erano nemmeno requisiti per una revisione di sicurezza obbligatoria dei servizi D-Bus e delle politiche Polkit (alcuni componenti di Deepin non superarono la revisione del SUSE Security Team e il manutentore dei pacchetti in openSUSE organizzò la loro installazione in modo alternativo).
Fonte: opennet.ru
