Комитет FESCo (Fedora Engineering Steering Committee), который курирует техническую сторону разработки дистрибутива Fedora Linux, официально постановил удалить из репозиториев проекта все пакеты, связанные со средой рабочего стола Deepin. Такое решение принято из-за хронических проблем с их обслуживанием и поддержкой. Более того, профильной команде релизов Fedora строго запрещено восстанавливать эти компоненты по первому требованию группы deepinde-sig без прохождения повторной детальной проверки.
Главной причиной радикального шага стало полное отсутствие активности со стороны команды сопровождающих deepinde-sig. Пакеты оказались фактически заброшены: они долгое время существовали без патчей для критических ошибок и, судя по всему, содержали актуальные уязвимости безопасности. Часть выявленных багов приводила к серьезным сбоям при попытке сборки из исходного кода (FTBFS) или вовсе блокировала нормальную установку программ (FTI).
Стоит отметить, что еще месяц назад члены FESCo шли на уступки и откладывали чистку репозиториев, пытаясь выйти на связь с мейнтейнерами Deepin. Им удалось пообщаться с главным сопровождающим, который честно признался, что не возражает против удаления. По его словам, все участники группы deepinde-sig оказались перегружены основной деятельностью, свободного времени на поддержку портов Deepin под Fedora не осталось, а попытки привлечь новых энтузиастов не принесли результатов.
Напомним, что ровно год назад аналогичные пакеты с окружением Deepin были полностью изгнаны из репозиториев openSUSE. Тогда причиной стал инцидент, когда мейнтейнер попытался обойти внутренние регламенты рецензирования. Втайне от команды безопасности он добавил в репозиторий пакет «deepin-feature-enable», который подгружал непроверенные компоненты с потенциальными уязвимостями. При подтверждении операции система в обход штатных механизмов распаковывала в системные каталоги сторонние файлы конфигурации D-Bus и политики Polkit из архивов, вшитых в пакеты deepin-daemon-dbus и deepin-daemon-polkit. В случае с Fedora подобных тайных манипуляций не фиксировалось, однако в дистрибутиве изначально отсутствовал жесткий мандат на обязательную проверку безопасности сервисов D-Bus и политик Polkit со стороны профильных экспертов.
