Policy review: major upstream version available: icu 77.1 → 78.3 #1

New issue

Open

opened 2026-04-28 01:17:09 +03:00 by sbelikov · 0 comments

sbelikov commented

2026-04-28 01:17:09 +03:00

Owner

Upstream update available: `icu` `77.1` → `78.3`

Package

Package: icu
RPM name: icu
Branch: niceos-5.2
Current EVR: 77.1-1
Update class: major
Compare method: python_rpm
Update policy: leaf
Risk tags: github-upstream

Upstream

Upstream type: github
Upstream project: unicode-org/icu
Upstream URL: https://github.com/unicode-org/icu
Detected version: 78.3
Tag/release: release-78.3
Source: github_release_latest
Published: 2026-03-17T20:23:47Z
Release URL: https://github.com/unicode-org/icu/releases/tag/release-78.3
Source URL: https://api.github.com/repos/unicode-org/icu/tarball/release-78.3
Pre-release: False

Signals

Security-relevant keywords detected: False
Policy blocked: True
Policy reason: package appears to be a library/API dependency
Labels: ai-summary, bot, needs-policy-decision, policy/major-blocked, priority/high, update/major, upstream-update, upstream/github

NiceOS policy decision

This is a policy-blocked major update. Do not update automatically.

Major updates for libraries, toolchain and security-critical packages require explicit manual architecture review, ABI/API compatibility review, reverse-dependency impact analysis and controlled rebuild planning.

NiceSOFT AI preliminary analysis

1. Краткий вывод

Обновление пакета icu с версии 77.1 до 78.3 классифицируется как major-обновление, несмотря на то, что релиз позиционируется как maintenance-патч с исправлением бага и обновлением данных. Политика дистрибутива блокирует автоматическое применение таких обновлений для пакетов, являющихся библиотеками или API-зависимостями.

2. Риск для НАЙС.ОС

medium. Обновление затрагивает критически важную библиотеку локализации (ICU), которая является зависимостью для множества других пакетов. Хотя сам релиз описывается как maintenance, переход между мажорными версиями (77 -> 78) несет в себе потенциальные риски несовместимости ABI/API, которые не всегда явно описываются в кратких релиз-нотах.

3. Security/CVE

Во входных данных отсутствуют прямые указания на уязвимости безопасности. Поле security_keywords_detected_by_script имеет значение False, а в тексте релиз-нот упоминаются только исправления багов и обновление данных часовых поясов.

4. ABI/API риск

Нужен ручной ABI/API анализ. Переход с версии 77.x на 78.x является мажорным обновлением. Несмотря на описание обновления как "maintenance", изменения в сигнатурах функций, структуре данных или порядке байт могут повлиять на бинарные зависимости, даже если API остается совместимым.

5. Риск для RPM-сборки

Возможны проблемы со сборкой, если BuildRequires или патчи в спецификации пакета icu зависят от конкретных версий заголовочных файлов или макросов, изменившихся в 78.3. Также возможно нарушение проверок %check (например, unit-тесты), если они чувствительны к изменениям в данных CLDR или логике итераторов, упомянутых в релиз-нотах.

6. Проверки мейнтейнера

Проверить список пакетов, зависящих от icu (rpm -qa --whatrequires icu), и оценить их критичность.
Провести тестовую сборку пакета icu с новой версией в изолированной среде.
Запустить %check секцию спецификации пакета icu для выявления регрессий.
Сравнить хеш-суммы файлов и размер пакета с предыдущей версией для выявления аномалий.
Проверить наличие изменений в публичном API библиотеки в документации upstream.

7. Рекомендация

blocked manual review

8. Основание рекомендации

Обновление заблокировано политикой (policy_blocked: True) из-за статуса пакета как библиотеки/API-зависимости при мажорном изменении версии. Автоматическое обновление рискованно без предварительной проверки совместимости зависимостей и отсутствия подтвержденных данных о безопасности. Требуется ручная оценка влияния на экосистему дистрибутива.

Upstream release notes / description

Unicode® ICU 78.3 is a maintenance update on top of ICU 78 and 78.2, mostly for the CLDR 48.2 bug fixes. In addition, it fixes a C++ code point iterator bug, and updates to timezone data 2026a.

Details: ICU 78
Download: releases/tag/release-78.3
Maven: com.ibm.icu / icu4j / version 78.3

The next major release of ICU will be ICU 79, planned for October. It will update to CLDR 49 and Unicode 18.

NiceOS maintainer checklist

Confirm that the detected version is a stable upstream release.
Check upstream changelog for security fixes, ABI/API changes and build-system changes.
Check ABI/API compatibility and reverse dependencies.
Download source into NiceOS lookaside storage.
Update Version and related fields in SPECS/*.spec only if policy allows it.
Regenerate SOURCES/sources.lock.json, manifests, metadata and SBOM.
Build SRPM/RPM in a clean NiceOS buildroot.
Run package smoke tests.
Link PR/build logs and close this issue after update or triage.

Bot metadata

Tool: niceos_upstream_monitor.py 1.4
Generated at: 2026-04-28T15:36:08Z

# Upstream update available: `icu` `77.1` → `78.3` ## Package - Package: `icu` - RPM name: `icu` - Branch: `niceos-5.2` - Current EVR: `77.1-1` - Update class: `major` - Compare method: `python_rpm` - Update policy: `leaf` - Risk tags: `github-upstream` ## Upstream - Upstream type: `github` - Upstream project: `unicode-org/icu` - Upstream URL: https://github.com/unicode-org/icu - Detected version: `78.3` - Tag/release: `release-78.3` - Source: `github_release_latest` - Published: `2026-03-17T20:23:47Z` - Release URL: https://github.com/unicode-org/icu/releases/tag/release-78.3 - Source URL: https://api.github.com/repos/unicode-org/icu/tarball/release-78.3 - Pre-release: `False` ## Signals - Security-relevant keywords detected: `False` - Policy blocked: `True` - Policy reason: `package appears to be a library/API dependency` - Labels: `ai-summary, bot, needs-policy-decision, policy/major-blocked, priority/high, update/major, upstream-update, upstream/github` ## NiceOS policy decision **This is a policy-blocked major update. Do not update automatically.** Major updates for libraries, toolchain and security-critical packages require explicit manual architecture review, ABI/API compatibility review, reverse-dependency impact analysis and controlled rebuild planning. ## NiceSOFT AI preliminary analysis ### 1. Краткий вывод Обновление пакета `icu` с версии 77.1 до 78.3 классифицируется как major-обновление, несмотря на то, что релиз позиционируется как maintenance-патч с исправлением бага и обновлением данных. Политика дистрибутива блокирует автоматическое применение таких обновлений для пакетов, являющихся библиотеками или API-зависимостями. ### 2. Риск для НАЙС.ОС **medium**. Обновление затрагивает критически важную библиотеку локализации (ICU), которая является зависимостью для множества других пакетов. Хотя сам релиз описывается как maintenance, переход между мажорными версиями (77 -> 78) несет в себе потенциальные риски несовместимости ABI/API, которые не всегда явно описываются в кратких релиз-нотах. ### 3. Security/CVE Во входных данных отсутствуют прямые указания на уязвимости безопасности. Поле `security_keywords_detected_by_script` имеет значение `False`, а в тексте релиз-нот упоминаются только исправления багов и обновление данных часовых поясов. ### 4. ABI/API риск Нужен ручной ABI/API анализ. Переход с версии 77.x на 78.x является мажорным обновлением. Несмотря на описание обновления как "maintenance", изменения в сигнатурах функций, структуре данных или порядке байт могут повлиять на бинарные зависимости, даже если API остается совместимым. ### 5. Риск для RPM-сборки Возможны проблемы со сборкой, если `BuildRequires` или патчи в спецификации пакета `icu` зависят от конкретных версий заголовочных файлов или макросов, изменившихся в 78.3. Также возможно нарушение проверок `%check` (например, unit-тесты), если они чувствительны к изменениям в данных CLDR или логике итераторов, упомянутых в релиз-нотах. ### 6. Проверки мейнтейнера - Проверить список пакетов, зависящих от `icu` (`rpm -qa --whatrequires icu`), и оценить их критичность. - Провести тестовую сборку пакета `icu` с новой версией в изолированной среде. - Запустить `%check` секцию спецификации пакета `icu` для выявления регрессий. - Сравнить хеш-суммы файлов и размер пакета с предыдущей версией для выявления аномалий. - Проверить наличие изменений в публичном API библиотеки в документации upstream. ### 7. Рекомендация blocked manual review ### 8. Основание рекомендации Обновление заблокировано политикой (`policy_blocked: True`) из-за статуса пакета как библиотеки/API-зависимости при мажорном изменении версии. Автоматическое обновление рискованно без предварительной проверки совместимости зависимостей и отсутствия подтвержденных данных о безопасности. Требуется ручная оценка влияния на экосистему дистрибутива. ## Upstream release notes / description Unicode® ICU 78.3 is a maintenance update on top of ICU 78 and 78.2, mostly for the [CLDR 48.2](https://cldr.unicode.org/downloads/cldr-48#482-changes) bug fixes. In addition, it fixes a C++ code point iterator bug, and updates to timezone data 2026a. Details: [ICU 78](https://unicode-org.github.io/icu/download/78.html) Download: [releases/tag/release-78.3](https://github.com/unicode-org/icu/releases/tag/release-78.3) Maven: [com.ibm.icu / icu4j / version 78.3](https://mvnrepository.com/artifact/com.ibm.icu/icu4j/78.3) The next major release of ICU will be ICU 79, planned for October. It will update to CLDR 49 and Unicode 18. ## NiceOS maintainer checklist - [ ] Confirm that the detected version is a stable upstream release. - [ ] Check upstream changelog for security fixes, ABI/API changes and build-system changes. - [ ] Check ABI/API compatibility and reverse dependencies. - [ ] Download source into NiceOS lookaside storage. - [ ] Update `Version` and related fields in `SPECS/*.spec` only if policy allows it. - [ ] Regenerate `SOURCES/sources.lock.json`, manifests, metadata and SBOM. - [ ] Build SRPM/RPM in a clean NiceOS buildroot. - [ ] Run package smoke tests. - [ ] Link PR/build logs and close this issue after update or triage. ## Bot metadata - Tool: `niceos_upstream_monitor.py 1.4` - Generated at: `2026-04-28T15:36:08Z`

sbelikov added the

ai-summary

bot

needs-policy-decision

labels

2026-04-28 01:17:09 +03:00