Upstream update available: libxcrypt 4.4.38 → 4.5.2 #1

New issue

Open

opened 2026-04-28 01:31:44 +03:00 by sbelikov · 0 comments

sbelikov commented

2026-04-28 01:31:44 +03:00

Owner

Upstream update available: `libxcrypt` `4.4.38` → `4.5.2`

Package

Package: libxcrypt
RPM name: libxcrypt
Branch: niceos-5.2
Current EVR: 4.4.38-1
Update class: minor
Compare method: python_rpm
Update policy: security-critical
Risk tags: github-upstream, security-critical

Upstream

Upstream type: github
Upstream project: besser82/libxcrypt
Upstream URL: https://github.com/besser82/libxcrypt
Detected version: 4.5.2
Tag/release: v4.5.2
Source: github_release_latest
Published: 2025-11-10T17:33:39Z
Release URL: https://github.com/besser82/libxcrypt/releases/tag/v4.5.2
Source URL: https://api.github.com/repos/besser82/libxcrypt/tarball/v4.5.2
Pre-release: False

Signals

Security-relevant keywords detected: False
Policy blocked: False
Policy reason: -
Labels: ai-summary, bot, needs-build, needs-triage, priority/high, update/minor, upstream-update, upstream/github

NiceSOFT AI preliminary analysis

1. Краткий вывод

Обновление libxcrypt с версии 4.4.38 до 4.5.2 классифицируется как минорное, но помечено как критически важное для безопасности. Основные изменения касаются переносимости реализации explicit_bzero и исправления компиляции алгоритма SHA-1 при оптимизации GCC v11+. Прямых указаний на уязвимости CVE или эксплойты в предоставленных данных не обнаружено.

2. Риск для НАЙС.ОС

Оценка: medium
Обновление затрагивает критически важный компонент аутентификации (libxcrypt). Хотя класс обновления — minor, наличие тега security-critical и исправление компиляции под новыми версиями GCC (v11+) указывает на потенциальные проблемы стабильности сборки и возможные скрытые векторы атак, связанные с обработкой памяти (explicit_bzero). Отсутствие явных CVE снижает срочность, но требует внимания из-за критичности функционала.

3. Security/CVE

Во входных данных отсутствуют прямые указания на конкретные CVE, номера уязвимостей или детальные описания эксплойтов. Скрипт детектирования ключевых слов безопасности не нашел признаков (security_keywords_detected_by_script: False). Фраза "security-critical" в политике обновления является метаданным класса важности, а не описанием конкретной уязвимости.

4. ABI/API риск

В release notes указано удаление необходимости использования VLA (Variable Length Arrays) в новой реализации explicit_bzero. Это изменение может повлиять на размер стека или поведение функции в специфических условиях, хотя сигнатура API, вероятно, сохранена. Для полной оценки влияния на бинарные интерфейсы требуется ручной анализ diff кода и проверка совместимости с существующими приложениями, использующими эту функцию.

5. Риск для RPM-сборки

Исправление компиляции при уровне оптимизации -O3 для GCC v11+ напрямую влияет на процесс сборки. Если текущая сборка НАЙС.ОС использует GCC v11 или новее с оптимизацией -O3, обновление должно устранить ошибки линковки или сборки. Однако, если в spec файле жестко заданы флаги оптимизации или отсутствуют необходимые зависимости для новых версий GCC, могут потребоваться правки в секции %build или BuildRequires. Упоминание "fallback implementation" также требует проверки наличия соответствующих заголовков и библиотек на целевых системах сборки.

6. Проверки мейнтейнера

Проверить наличие ошибок сборки при компиляции с -O3 и GCC v11+ на тестовом окружении.
Выполнить rpmlint и проверку зависимостей (BuildRequires) после применения обновления.
Провести ручной diff кода функции explicit_bzero для подтверждения отсутствия изменений в сигнатуре или видимом поведении.
Запустить тесты регрессионного тестирования для пакетов, зависящих от libxcrypt.
Проверить логи сборки на предмет предупреждений об использовании VLA или других архитектурных особенностей.

7. Рекомендация

update candidate

8. Основание рекомендации

Несмотря на отсутствие явных CVE, обновление классифицировано как security-critical upstream, что подразумевает необходимость внедрения исправлений. Исправление компиляции для современных версий GCC является важным для поддержки актуального toolchain. Поскольку это минорное обновление без заявленных разрушительных изменений ABI и без блокирующих факторов в политике (policy_blocked: False), оно подходит для статуса кандидата после выполнения стандартных проверок сборки и тестирования.

Upstream release notes / description

Use a more portable implementation for our fallback implementation of explicit_bzero(); also get rid of the need for VLA in the new implementation (issue #212).
Fix compilation of alg-sha1 with optimization level 3 for GCC v11 and newer (issue #179).

NiceOS maintainer checklist

Confirm that the detected version is a stable upstream release.
Check upstream changelog for security fixes, ABI/API changes and build-system changes.
Check ABI/API compatibility and reverse dependencies.
Download source into NiceOS lookaside storage.
Update Version and related fields in SPECS/*.spec only if policy allows it.
Regenerate SOURCES/sources.lock.json, manifests, metadata and SBOM.
Build SRPM/RPM in a clean NiceOS buildroot.
Run package smoke tests.
Link PR/build logs and close this issue after update or triage.

Bot metadata

Tool: niceos_upstream_monitor.py 1.4
Generated at: 2026-04-28T23:33:06Z

# Upstream update available: `libxcrypt` `4.4.38` → `4.5.2` ## Package - Package: `libxcrypt` - RPM name: `libxcrypt` - Branch: `niceos-5.2` - Current EVR: `4.4.38-1` - Update class: `minor` - Compare method: `python_rpm` - Update policy: `security-critical` - Risk tags: `github-upstream, security-critical` ## Upstream - Upstream type: `github` - Upstream project: `besser82/libxcrypt` - Upstream URL: https://github.com/besser82/libxcrypt - Detected version: `4.5.2` - Tag/release: `v4.5.2` - Source: `github_release_latest` - Published: `2025-11-10T17:33:39Z` - Release URL: https://github.com/besser82/libxcrypt/releases/tag/v4.5.2 - Source URL: https://api.github.com/repos/besser82/libxcrypt/tarball/v4.5.2 - Pre-release: `False` ## Signals - Security-relevant keywords detected: `False` - Policy blocked: `False` - Policy reason: `-` - Labels: `ai-summary, bot, needs-build, needs-triage, priority/high, update/minor, upstream-update, upstream/github` ## NiceSOFT AI preliminary analysis ### 1. Краткий вывод Обновление `libxcrypt` с версии 4.4.38 до 4.5.2 классифицируется как минорное, но помечено как критически важное для безопасности. Основные изменения касаются переносимости реализации `explicit_bzero` и исправления компиляции алгоритма SHA-1 при оптимизации GCC v11+. Прямых указаний на уязвимости CVE или эксплойты в предоставленных данных не обнаружено. ### 2. Риск для НАЙС.ОС **Оценка: medium** Обновление затрагивает критически важный компонент аутентификации (`libxcrypt`). Хотя класс обновления — minor, наличие тега `security-critical` и исправление компиляции под новыми версиями GCC (v11+) указывает на потенциальные проблемы стабильности сборки и возможные скрытые векторы атак, связанные с обработкой памяти (`explicit_bzero`). Отсутствие явных CVE снижает срочность, но требует внимания из-за критичности функционала. ### 3. Security/CVE Во входных данных отсутствуют прямые указания на конкретные CVE, номера уязвимостей или детальные описания эксплойтов. Скрипт детектирования ключевых слов безопасности не нашел признаков (`security_keywords_detected_by_script: False`). Фраза "security-critical" в политике обновления является метаданным класса важности, а не описанием конкретной уязвимости. ### 4. ABI/API риск В release notes указано удаление необходимости использования VLA (Variable Length Arrays) в новой реализации `explicit_bzero`. Это изменение может повлиять на размер стека или поведение функции в специфических условиях, хотя сигнатура API, вероятно, сохранена. Для полной оценки влияния на бинарные интерфейсы требуется ручной анализ diff кода и проверка совместимости с существующими приложениями, использующими эту функцию. ### 5. Риск для RPM-сборки Исправление компиляции при уровне оптимизации `-O3` для GCC v11+ напрямую влияет на процесс сборки. Если текущая сборка НАЙС.ОС использует GCC v11 или новее с оптимизацией `-O3`, обновление должно устранить ошибки линковки или сборки. Однако, если в `spec` файле жестко заданы флаги оптимизации или отсутствуют необходимые зависимости для новых версий GCC, могут потребоваться правки в секции `%build` или `BuildRequires`. Упоминание "fallback implementation" также требует проверки наличия соответствующих заголовков и библиотек на целевых системах сборки. ### 6. Проверки мейнтейнера - [ ] Проверить наличие ошибок сборки при компиляции с `-O3` и GCC v11+ на тестовом окружении. - [ ] Выполнить `rpmlint` и проверку зависимостей (`BuildRequires`) после применения обновления. - [ ] Провести ручной diff кода функции `explicit_bzero` для подтверждения отсутствия изменений в сигнатуре или видимом поведении. - [ ] Запустить тесты регрессионного тестирования для пакетов, зависящих от `libxcrypt`. - [ ] Проверить логи сборки на предмет предупреждений об использовании VLA или других архитектурных особенностей. ### 7. Рекомендация update candidate ### 8. Основание рекомендации Несмотря на отсутствие явных CVE, обновление классифицировано как `security-critical` upstream, что подразумевает необходимость внедрения исправлений. Исправление компиляции для современных версий GCC является важным для поддержки актуального toolchain. Поскольку это минорное обновление без заявленных разрушительных изменений ABI и без блокирующих факторов в политике (`policy_blocked: False`), оно подходит для статуса кандидата после выполнения стандартных проверок сборки и тестирования. ## Upstream release notes / description * Use a more portable implementation for our fallback implementation of explicit_bzero(); also get rid of the need for VLA in the new implementation (issue #212). * Fix compilation of alg-sha1 with optimization level 3 for GCC v11 and newer (issue #179). ## NiceOS maintainer checklist - [ ] Confirm that the detected version is a stable upstream release. - [ ] Check upstream changelog for security fixes, ABI/API changes and build-system changes. - [ ] Check ABI/API compatibility and reverse dependencies. - [ ] Download source into NiceOS lookaside storage. - [ ] Update `Version` and related fields in `SPECS/*.spec` only if policy allows it. - [ ] Regenerate `SOURCES/sources.lock.json`, manifests, metadata and SBOM. - [ ] Build SRPM/RPM in a clean NiceOS buildroot. - [ ] Run package smoke tests. - [ ] Link PR/build logs and close this issue after update or triage. ## Bot metadata - Tool: `niceos_upstream_monitor.py 1.4` - Generated at: `2026-04-28T23:33:06Z`

sbelikov added the

labels

2026-04-28 01:31:44 +03:00