Fedora 45 erscheint mit RPM 6.1, das unsignierte Pakete blockiert

Fedora Linux 45 erschien am 3. November 2026. Sein Paketwerkzeug installiert jetzt nichts mehr ohne geprüfte Signatur. Das betrifft alle, die eigene RPM-Dateien bauen oder eine von der Website eines Anbieters herunterladen. Ein Befehl, der unter Fedora 44 funktionierte, bricht jetzt mit einem Fehler ab.

Die Ankündigung im Fedora Magazine verspricht "ausgefeilte Desktop-Verbesserungen, leistungsstarke neue Installer-Funktionen und aktualisierte Toolchains". Die Veröffentlichung verschob sich zweimal gegenüber dem Ziel 20. Oktober, berichtet Linux Compatible. Jede Verschiebung folgte auf eine "No-Go"-Entscheidung, weil Tester ein Problem fanden, das die Veröffentlichung blockierte.

Was sich in RPM 6.1 geändert hat

RPM ist das Paketformat und der Installer unter Fedora, Red Hat Enterprise Linux und ihren Verwandten. Eine Signatur ist ein kryptografischer Stempel. Sie belegt, wer ein Paket gebaut hat und dass es seitdem niemand verändert hat.

Fedora 45 "stellt den Standardmodus der Paketprüfung in RPM 6.1 auf erzwungene Signaturprüfung um", schreibt Fedora-Projektleiter Jef Spaleta im Blog von Red Hat. Die Änderungsseite von Fedora, die Panu Matilainen verantwortet, sagt es deutlicher: "Nur Pakete mit einer geprüften Signatur können installiert werden."

Die Umstellung ist eine einzige Einstellung, %_pkgverify_level. Sie wechselt von digest, das nur prüft, ob die Datei unbeschädigt ist, zu all, das zusätzlich eine gültige Signatur verlangt. Laut der Änderungsseite scheitert auch ein Paket, das mit einem Schlüssel signiert ist, den das System nicht importiert hat. Fedora plante die Umstellung zuerst zusammen mit RPM 6.0 und verschob sie "aus Zeit- und Ressourcengründen" auf Fedora 45.

Getestet: ein unsigniertes Paket unter Fedora 44 und 45

In einem Test von Tech AI Wire unter macOS 26.6.2 mit Docker Desktop 28.4.0 liefen die offiziellen Container-Images fedora:44 und fedora:45 mit demselben unsignierten Testpaket. Beide Images wurden am 2. November für arm64 gebaut. Das Paket taw-hello wurde mit rpmbuild in Fedora 45 gebaut und trägt keine Signatur.

Prüfung	Fedora 44	Fedora 45
rpm --version	6.0.2	6.1.0
rpm --eval "%_pkgverify_level"	digest	all
rpmkeys --checksig	"digests OK", Exit-Code 0	"digests SIGNATURES NOT OK", Exit-Code 1
rpm -i	installiert, Exit-Code 0	abgelehnt, Exit-Code 1
rpm -i --nosignature	installiert	installiert
dnf install der lokalen Datei	installiert, mit Warnung	installiert, mit Warnung

Unter Fedora 45 gab ein einfaches rpm -i eine Zeile aus und brach ab:

$ rpm -i /pkgs/taw-hello-1.0-1.noarch.rpm
	package taw-hello-1.0-1.noarch does not verify: no signature

DNF, der übergeordnete Paketmanager von Fedora, verhielt sich anders. Auf beiden Versionen meldete dnf install der lokalen Datei "Warning: skipped OpenPGP checks for 1 package from repository: @commandline" und installierte sie. Die neue Regel trifft also Skripte und Werkzeuge, die rpm direkt aufrufen, nicht ein einfaches dnf install.

Der Test bestätigte auch den systemweiten Weg zurück. Nachdem die Zeile %_pkgverify_level digest in /etc/rpm/macros.verify stand, installierte rpm -i unter Fedora 45 das unsignierte Paket wieder.

Vier Wege, ein lokales Paket jetzt zu installieren

Die Änderungsseite nennt die unterstützten Wege. Jeder passt zu einem anderen Fall:

• Eine einmalige Installation: --nosignature an den rpm-Befehl anhängen oder dnf install verwenden, das im Test oben die Prüfung übersprang.
• Eigene Builds: RPM 6.0 und neuer kann lokale Builds automatisch mit einem Schlüssel ohne Passwort signieren. Mock, das Werkzeug von Fedora für saubere Build-Umgebungen, hat ein Signatur-Plugin. COPR, der Community-Build-Dienst von Fedora, signiert Pakete selbst.
• Pakete eines Anbieters: den Signaturschlüssel des Anbieters importieren, damit seine Signatur geprüft werden kann. DNF5 ab Version 5.2.14.0 kann die Prüfung außerdem für ein einzelnes Repository mit gpgcheck=0 abschalten.
• Das ganze System: Die macros.verify-Zeile oben stellt das alte Verhalten wieder her. Sie entfernt aber auch den Schutz, also nur als letztes Mittel.

Weitere Änderungen in Fedora 45, die Skripte brechen können

Dieselben Container fragten am 4. November die Paket-Repositorys von Fedora ab, welche Versionen jede Ausgabe für arm64 anbietet:

Paket	Fedora 44	Fedora 45
Python	3.14.10	3.15.0
Go	1.26.10	1.27.3
LLVM	22.1.8	23.1.4
glibc	2.43	2.44
Perl	5.42.3	5.44.0
Podman	5.8.9	6.1.3
MySQL-Server	8.4.10	9.7.2
MariaDB-Server	11.8.8	12.3.2
pandas	2.3.3	3.0.6
GCC	16.2.1	16.2.1
Linux-Kernel	7.2.15	7.2.15

Fedora 45 bietet MySQL 8.4 weiter als eigenes Paket mysql8.4-server an, Version 8.4.11. Vier weitere Änderungen können bestehende Setups brechen:

• Repository-Dateien verschoben: Im Image von Fedora 45 ist /etc/yum.repos.d/ leer. Die Repository-Dateien von Fedora liegen in /usr/share/dnf5/repos.d/. Linux Compatible warnt, dass Skripte mit den alten Pfaden brechen.
• Podman 6 streicht slirp4netns, cgroups v1 und das BoltDB-Datenbank-Backend, laut der Änderungsliste von Fedora. Linux Compatible rät, zu SQLite zu wechseln und --network=pasta zu nutzen.
• Debugging: ptrace, die Kernel-Schnittstelle, die Debugger nutzen, ist für Nutzer ohne Sonderrechte jetzt eingeschränkt, so der Beitrag von Red Hat. Wer Debugging-Pakete installiert, bekommt das normale Tracing zurück.
• Zwei VPN-Plugins eingestellt: NetworkManager-vpnc und NetworkManager-fortisslvpn werden "ab Fedora Linux 45 obsolet", heißt es in der Ankündigung.

Die KDE-Ausgabe wechselt zu Plasma 6.8, der Version, die die X11-Sitzung gestrichen hat. Fedora 45 ersetzt außerdem die Kernel-Konsole durch kmscon, eine Änderung, die zuerst in der Beta auftauchte.

Was das für Entwickler bedeutet

Durchsuchen Sie vor dem Upgrade Build-Skripte, Dockerfiles und CI-Jobs nach direkten rpm -i-Aufrufen auf Dateien, die Ihr Team selbst baut. Genau diese Aufrufe scheitern jetzt. Interne Pakete zu signieren ist die dauerhafte Lösung. Wer überall --nosignature ergänzt, holt das Risiko zurück, das die Änderung beseitigt.

Prüfen Sie jedes Konfigurationswerkzeug, das Dateien in /etc/yum.repos.d/ schreibt oder bearbeitet. Testen Sie Code mit Python 3.15 und pandas 3, bevor Sie Datenjobs umziehen. Planen Sie den Sprung auf MySQL 9.7 oder bleiben Sie bei mysql8.4-server. Ein Container-Test deckt nur die Paketwerkzeuge ab. Er startet weder den Desktop noch die Konsole noch den Kernel.

Nutzer von Fedora 44 aktualisieren mit sudo dnf upgrade --refresh, danach sudo dnf system-upgrade download --releasever=45 und sudo dnf offline reboot, so Linux Compatible. Fedora 45 erhält Updates bis zum 8. Dezember 2027, dem Datum in seiner eigenen Datei /etc/os-release.