Пакет собирается через `dotnet publish -r linux-x64 -p:SelfContained=true`, и в %_appdir/naps2 оказывается рантайм .NET, вшитый в исполняемый файл. Рантайм берётся из пакета Microsoft.NETCore.App.Runtime.linux-x64 в локальном кэше NuGet (nuget-sources), то есть это готовые бинарники Microsoft (libcoreclr.so и др.), а не собранный в ALT dotnet-runtime-10.0.

Чем это плохо:
- исправления безопасности системного dotnet-runtime до пакета не доходят, для каждого нужна пересборка с обновлением кэша NuGet;
- рантайм открывает ICU и libssl через dlopen, поэтому зависимостей на них у пакета нет (у dotnet-runtime-* есть Requires: libicu);
- в пакете оказываются готовые бинарники вместо собранных из исходников.

Предлагаю собирать framework-dependent: `--self-contained false` (без SelfContained/PublishSingleFile), с Requires: dotnet-10.0, а Microsoft.NETCore.App.Runtime.* и Microsoft.NETCore.App.Host.* убрать из кэша NuGet.

Могу подготовить такую сборку сам.