Upstream update available: squashfs-tools 4.7.4 → 4.7.5 #1

New issue

Open

opened 2026-04-28 02:18:22 +03:00 by sbelikov · 0 comments

sbelikov commented

2026-04-28 02:18:22 +03:00

Owner

Upstream update available: `squashfs-tools` `4.7.4` → `4.7.5`

Package

Package: squashfs-tools
RPM name: squashfs-tools
Branch: niceos-5.2
Current EVR: 4.7.4-1
Update class: patch
Compare method: python_rpm
Update policy: leaf
Risk tags: github-upstream

Upstream

Upstream type: github
Upstream project: plougher/squashfs-tools
Upstream URL: https://github.com/plougher/squashfs-tools
Detected version: 4.7.5
Tag/release: 4.7.5
Source: github_release_latest
Published: 2026-03-01T23:05:47Z
Release URL: https://github.com/plougher/squashfs-tools/releases/tag/4.7.5
Source URL: https://api.github.com/repos/plougher/squashfs-tools/tarball/4.7.5
Pre-release: False

Signals

Security-relevant keywords detected: False
Policy blocked: False
Policy reason: -
Labels: ai-summary, bot, needs-build, needs-triage, priority/medium, update/patch, upstream-update, upstream/github

NiceSOFT AI preliminary analysis

1. Краткий вывод

Обновление squashfs-tools с версии 4.7.4 до 4.7.5 является патч-релизом, исправляющим критические ошибки целостности файловой системы (коррупция при наличии разреженных файлов) и устраняющим краши (segfault). Внесен новый функционал -numeric-owner, который меняет способ обработки UID/GID при создании образов.

2. Риск для НАЙС.ОС

medium. Хотя класс обновления помечен как patch, исправление "возможной коррупции файловой системы" (corruption of Squashfs filesystems) относится к категории критических багов, влияющих на стабильность и сохранность данных. Ошибка может проявляться только при специфических условиях (наличие разреженных файлов), что требует тщательного тестирования в окружении дистрибутива.

3. Security/CVE

Во входных данных отсутствуют явные указания на уязвимости безопасности (security_keywords_detected_by_script: False, отсутствие CVE в тексте релизов). Упомянутые исправления касаются корректности работы алгоритмов сжатия и обработки метаданных, а не эксплойтов или утечек памяти, характерных для CVE.

4. ABI/API риск

Нужен ручной ABI/API анализ.
В релиз-нотах указано добавление новой опции -numeric-owner. Это изменение влияет на поведение утилит mksquashfs и sqfstar при генерации образов. Необходимо проверить, не нарушает ли это изменение совместимость с существующими скриптами сборки образов или инструментами восстановления, ожидающими определенные значения UID/GID в архивах. Также добавлена проверка определения SEEK_DATA, что может повлиять на компиляцию на старых системах, но не является прямым изменением ABI библиотеки.

5. Риск для RPM-сборки

Вероятность поломки сборки низкая, так как это обновление утилит (squashfs-tools), а не системных библиотек. Однако:

Добавление новой опции -numeric-owner может потребовать обновления документации или примеров использования в spec-файле, если они там присутствуют.
Изменение поведения обработки ошибок (вывод в pager вместо stderr) может повлиять на логи сборки, если они парсят stderr утилит.
Условие #if !defined(SEEK_DATA) в коде требует наличия соответствующих заголовков или макросов, что обычно решается стандартными средствами GCC, но стоит убедиться в отсутствии предупреждений о неопределенных символах.

6. Проверки мейнтейнера

Проверить наличие тестовых образов с разреженными файлами (sparse files) и псевдо-файлами (pseudo files) в репозитории тестов.
Запустить mksquashfs с новым флагом -numeric-owner и сравнить размер и содержимое образов с предыдущей версией на идентичном наборе данных.
Проверить работу sqfstar на восстановленных образах, созданных новой версией, особенно сценарии с псевдо-файлами.
Убедиться, что сборка проходит успешно на целевых архитектурах дистрибутива без новых предупреждений компилятора.
Проверить, не сломались ли скрипты, использующие stderr mksquashfs/sqfstar для вывода прогресса или ошибок.

7. Рекомендация

update candidate

8. Основание рекомендации

Обновление содержит исправления критических багов, влияющих на целостность данных (коррупция ФС), что делает его обязательным для применения. Несмотря на введение новой опции, она является аддитивной и не отменяет старые параметры, поэтому риск обратной совместимости минимален при условии проверки тестовых сценариев. Автоматическое обновление заблокировано политикой для security-critical пакетов, но данный случай требует ручного подтверждения мейнтейнером перед включением в репозиторий.

Upstream release notes / description

4.7.5 (01 MAR 2026): Bug fix release (mostly)

New options & improvements
1. Mksquashfs/Sqfstar: new -numeric-owner option which uses the numeric uid and gid in the tarfile rather than the user name or the group name.
2. Error messages produced by the date command and symbolic mode parser printed by the pager rather than to stderr.
Major bug fixes
1. Fix possible corruption of Squashfs filesystems if sparse files present (caused by elimination of "fragment block stall" in 4.7).
2. Fix pseudo file f/F definition (create file from output of command) when input has greater than a block of contiguous zeros (caused by sparse file reading optimisation in 4.7.3).
3. Fix issue where files which are larger than available buffer space will not be found to be a duplicate (caused by elimination of "fragment block stall" in 4.7).
4. Fix broken Mksquashfs -max-depth option.
Minor bug fixes
1. Mksquashfs: segmentation fault if no sources and pseudo file root ("/") definition only defines an Xattr but no metadata.
2. Mksquashfs/Sqfstar: -offset should be rejected if -stream option used.
3. Mksquashfs: hard links to symbolic links may be ignored (first access to symbolic link after creation).
4. Pseudo files: a M (modify with timestamp) definition on a directory causes pseudo file definitions below it in hierarchy to be ignored.
5. Pseudo files: a m/M modify definition breaks checks that a directory exists and it is a directory (rather than something else).
6. Mksquashfs: -max-depth option marks empty directories as having excluded files.
7. Mksquashfs/Sqfstar should produce identical output with only pseudo files.
8. Define SEEK_DATA if not defined by C library.

NiceOS maintainer checklist

Confirm that the detected version is a stable upstream release.
Check upstream changelog for security fixes, ABI/API changes and build-system changes.
Check ABI/API compatibility and reverse dependencies.
Download source into NiceOS lookaside storage.
Update Version and related fields in SPECS/*.spec only if policy allows it.
Regenerate SOURCES/sources.lock.json, manifests, metadata and SBOM.
Build SRPM/RPM in a clean NiceOS buildroot.
Run package smoke tests.
Link PR/build logs and close this issue after update or triage.

Bot metadata

Tool: niceos_upstream_monitor.py 1.4
Generated at: 2026-04-27T23:18:21Z

# Upstream update available: `squashfs-tools` `4.7.4` → `4.7.5` ## Package - Package: `squashfs-tools` - RPM name: `squashfs-tools` - Branch: `niceos-5.2` - Current EVR: `4.7.4-1` - Update class: `patch` - Compare method: `python_rpm` - Update policy: `leaf` - Risk tags: `github-upstream` ## Upstream - Upstream type: `github` - Upstream project: `plougher/squashfs-tools` - Upstream URL: https://github.com/plougher/squashfs-tools - Detected version: `4.7.5` - Tag/release: `4.7.5` - Source: `github_release_latest` - Published: `2026-03-01T23:05:47Z` - Release URL: https://github.com/plougher/squashfs-tools/releases/tag/4.7.5 - Source URL: https://api.github.com/repos/plougher/squashfs-tools/tarball/4.7.5 - Pre-release: `False` ## Signals - Security-relevant keywords detected: `False` - Policy blocked: `False` - Policy reason: `-` - Labels: `ai-summary, bot, needs-build, needs-triage, priority/medium, update/patch, upstream-update, upstream/github` ## NiceSOFT AI preliminary analysis ### 1. Краткий вывод Обновление `squashfs-tools` с версии 4.7.4 до 4.7.5 является патч-релизом, исправляющим критические ошибки целостности файловой системы (коррупция при наличии разреженных файлов) и устраняющим краши (segfault). Внесен новый функционал `-numeric-owner`, который меняет способ обработки UID/GID при создании образов. ### 2. Риск для НАЙС.ОС **medium**. Хотя класс обновления помечен как `patch`, исправление "возможной коррупции файловой системы" (corruption of Squashfs filesystems) относится к категории критических багов, влияющих на стабильность и сохранность данных. Ошибка может проявляться только при специфических условиях (наличие разреженных файлов), что требует тщательного тестирования в окружении дистрибутива. ### 3. Security/CVE Во входных данных отсутствуют явные указания на уязвимости безопасности (security_keywords_detected_by_script: False, отсутствие CVE в тексте релизов). Упомянутые исправления касаются корректности работы алгоритмов сжатия и обработки метаданных, а не эксплойтов или утечек памяти, характерных для CVE. ### 4. ABI/API риск Нужен ручной ABI/API анализ. В релиз-нотах указано добавление новой опции `-numeric-owner`. Это изменение влияет на поведение утилит `mksquashfs` и `sqfstar` при генерации образов. Необходимо проверить, не нарушает ли это изменение совместимость с существующими скриптами сборки образов или инструментами восстановления, ожидающими определенные значения UID/GID в архивах. Также добавлена проверка определения `SEEK_DATA`, что может повлиять на компиляцию на старых системах, но не является прямым изменением ABI библиотеки. ### 5. Риск для RPM-сборки Вероятность поломки сборки низкая, так как это обновление утилит (`squashfs-tools`), а не системных библиотек. Однако: - Добавление новой опции `-numeric-owner` может потребовать обновления документации или примеров использования в `spec`-файле, если они там присутствуют. - Изменение поведения обработки ошибок (вывод в pager вместо stderr) может повлиять на логи сборки, если они парсят stderr утилит. - Условие `#if !defined(SEEK_DATA)` в коде требует наличия соответствующих заголовков или макросов, что обычно решается стандартными средствами GCC, но стоит убедиться в отсутствии предупреждений о неопределенных символах. ### 6. Проверки мейнтейнера - [ ] Проверить наличие тестовых образов с разреженными файлами (sparse files) и псевдо-файлами (pseudo files) в репозитории тестов. - [ ] Запустить `mksquashfs` с новым флагом `-numeric-owner` и сравнить размер и содержимое образов с предыдущей версией на идентичном наборе данных. - [ ] Проверить работу `sqfstar` на восстановленных образах, созданных новой версией, особенно сценарии с псевдо-файлами. - [ ] Убедиться, что сборка проходит успешно на целевых архитектурах дистрибутива без новых предупреждений компилятора. - [ ] Проверить, не сломались ли скрипты, использующие stderr `mksquashfs`/`sqfstar` для вывода прогресса или ошибок. ### 7. Рекомендация update candidate ### 8. Основание рекомендации Обновление содержит исправления критических багов, влияющих на целостность данных (коррупция ФС), что делает его обязательным для применения. Несмотря на введение новой опции, она является аддитивной и не отменяет старые параметры, поэтому риск обратной совместимости минимален при условии проверки тестовых сценариев. Автоматическое обновление заблокировано политикой для security-critical пакетов, но данный случай требует ручного подтверждения мейнтейнером перед включением в репозиторий. ## Upstream release notes / description ### 4.7.5 (01 MAR 2026): Bug fix release (mostly) 1. New options & improvements 1. Mksquashfs/Sqfstar: new -numeric-owner option which uses the numeric uid and gid in the tarfile rather than the user name or the group name. 2. Error messages produced by the date command and symbolic mode parser printed by the pager rather than to stderr. 2. Major bug fixes 1. Fix possible corruption of Squashfs filesystems if sparse files present (caused by elimination of "fragment block stall" in 4.7). 2. Fix pseudo file f/F definition (create file from output of command) when input has greater than a block of contiguous zeros (caused by sparse file reading optimisation in 4.7.3). 3. Fix issue where files which are larger than available buffer space will not be found to be a duplicate (caused by elimination of "fragment block stall" in 4.7). 4. Fix broken Mksquashfs -max-depth option. 3. Minor bug fixes 1. Mksquashfs: segmentation fault if no sources and pseudo file root ("/") definition only defines an Xattr but no metadata. 2. Mksquashfs/Sqfstar: -offset should be rejected if -stream option used. 3. Mksquashfs: hard links to symbolic links may be ignored (first access to symbolic link after creation). 4. Pseudo files: a M (modify with timestamp) definition on a directory causes pseudo file definitions below it in hierarchy to be ignored. 5. Pseudo files: a m/M modify definition breaks checks that a directory exists and it is a directory (rather than something else). 6. Mksquashfs: -max-depth option marks empty directories as having excluded files. 7. Mksquashfs/Sqfstar should produce identical output with only pseudo files. 8. Define SEEK_DATA if not defined by C library. ## NiceOS maintainer checklist - [ ] Confirm that the detected version is a stable upstream release. - [ ] Check upstream changelog for security fixes, ABI/API changes and build-system changes. - [ ] Check ABI/API compatibility and reverse dependencies. - [ ] Download source into NiceOS lookaside storage. - [ ] Update `Version` and related fields in `SPECS/*.spec` only if policy allows it. - [ ] Regenerate `SOURCES/sources.lock.json`, manifests, metadata and SBOM. - [ ] Build SRPM/RPM in a clean NiceOS buildroot. - [ ] Run package smoke tests. - [ ] Link PR/build logs and close this issue after update or triage. ## Bot metadata - Tool: `niceos_upstream_monitor.py 1.4` - Generated at: `2026-04-27T23:18:21Z`

sbelikov added the

labels

2026-04-28 02:18:22 +03:00