Пакет собирается через `dotnet publish --self-contained`, и в /usr/lib/jellyfin лежит собственный рантайм .NET (libcoreclr.so, libhostfxr.so, libSystem.Globalization.Native.so и др.). Он берётся из пакета Microsoft.NETCore.App.Runtime.linux-x64 в кэше NuGet (packages.tar), то есть это готовые бинарники Microsoft, а не собранный в ALT dotnet-runtime-10.0. Чем это плохо: - исправления безопасности системного dotnet-runtime до пакета не доходят, для каждого нужна пересборка с обновлением packages.tar; для сетевого сервиса это особенно заметно; - рантайм открывает ICU и libssl через dlopen, поэтому зависимостей на них у пакета нет (у dotnet-runtime-* есть Requires: libicu); - в пакете оказываются готовые бинарники вместо собранных из исходников. Предлагаю собирать framework-dependent: `--self-contained false`, с Requires: dotnet-aspnetcore-runtime-10.0 (jellyfin — приложение ASP.NET Core), а Microsoft.NETCore.App.Runtime.*, Microsoft.AspNetCore.App.Runtime.* и Microsoft.NETCore.App.Host.* убрать из packages.tar. Могу подготовить такую сборку сам.
