如何在 CentOS 7 上安裝 nspr 4.25？

我正在嘗試解決一個安全漏洞 - 特別是https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-17006。一般的解決方案是更新包

• nspr-0:4.21.0-1.el7
• nss-0:3.44.0-7.el7_7
• nss-softokn-0:3.44.0-8.el7_7
• nss-softokn-freebl-0:3.44.0-8.el7_7
• nss-sysinit-0:3.44.0-7.el7_7
• nss-tools-0:3.44.0-7.el7_7
• nss-util-0:3.44.0-4.el7_7

所以我嘗試了標準yum update，但似乎認為 4.21 是 nspr 的最新版本，並且已經安裝。該漏洞直到 4.25 才修復。我試著用Google搜尋，至少從我發現的官方 CentOS 網站上，他們也認為 4.21 是最新版本。

但是 - rpmfind.net 列出了 4.25 和 4.29 版本，例如http://fr2.rpmfind.net/linux/RPM/centos/updates/7.9.2009/x86_64/Packages/nspr-4.25.0-2.el7_9.x86_64 .html

開始使用 rpmfind.net 解決安全漏洞對我來說似乎有些冒險。我看不出這些是如何由官方 CentOS（或 RHEL）作者簽名的，所以這些按原樣使用是否安全？有沒有辦法驗證作者/包發布？

當作業系統供應商沒有通過包管理器發布修復程序時，解決此類漏洞的“正確”方法是什麼？

您要查找的更新已在 RHEL 7.9 中發布，但 CentOS（基於 RHEL）尚未更新到 7.9。

如果您需要提前訪問它，您可以在 repo 中獲取下一個 CentOS 7 次要版本的cr軟體包。

[root@vmtest-centos7 ~]# yum --enablerepo=cr update nspr nss
Loaded plugins: fastestmirror
Loading mirror speeds from cached hostfile
* base: centos.mirror.vexxhost.com
* extras: centos.mirror.vexxhost.com
* updates: centos.mirror.vexxhost.com
Resolving Dependencies
--> Running transaction check
---> Package nspr.x86_64 0:4.21.0-1.el7 will be updated
---> Package nspr.x86_64 0:4.25.0-2.el7_9 will be an update
---> Package nss.x86_64 0:3.44.0-7.el7_7 will be updated
--> Processing Dependency: nss = 3.44.0-7.el7_7 for package: nss-sysinit-3.44.0-7.el7_7.x86_64
--> Processing Dependency: nss(x86-64) = 3.44.0-7.el7_7 for package: nss-tools-3.44.0-7.el7_7.x86_64
---> Package nss.x86_64 0:3.53.1-3.el7_9 will be an update
--> Processing Dependency: nss-util >= 3.53.1-1 for package: nss-3.53.1-3.el7_9.x86_64
--> Processing Dependency: nss-softokn(x86-64) >= 3.53.1-2 for package: nss-3.53.1-3.el7_9.x86_64
--> Running transaction check
---> Package nss-softokn.x86_64 0:3.44.0-8.el7_7 will be updated
---> Package nss-softokn.x86_64 0:3.53.1-6.el7_9 will be an update
--> Processing Dependency: nss-softokn-freebl(x86-64) >= 3.53.1-6.el7_9 for package: nss-softokn-3.53.1-6.el7_9.x86_64
---> Package nss-sysinit.x86_64 0:3.44.0-7.el7_7 will be updated
---> Package nss-sysinit.x86_64 0:3.53.1-3.el7_9 will be an update
---> Package nss-tools.x86_64 0:3.44.0-7.el7_7 will be updated
---> Package nss-tools.x86_64 0:3.53.1-3.el7_9 will be an update
---> Package nss-util.x86_64 0:3.44.0-4.el7_7 will be updated
---> Package nss-util.x86_64 0:3.53.1-1.el7_9 will be an update
--> Running transaction check
---> Package nss-softokn-freebl.x86_64 0:3.44.0-8.el7_7 will be updated
---> Package nss-softokn-freebl.x86_64 0:3.53.1-6.el7_9 will be an update
--> Finished Dependency Resolution

Dependencies Resolved

================================================================================
Package                   Arch          Version                Repository
                                                                          Size
================================================================================
Updating:
nspr                      x86_64        4.25.0-2.el7_9         cr        127 k
nss                       x86_64        3.53.1-3.el7_9         cr        869 k
Updating for dependencies:
nss-softokn               x86_64        3.53.1-6.el7_9         cr        354 k
nss-softokn-freebl        x86_64        3.53.1-6.el7_9         cr        322 k
nss-sysinit               x86_64        3.53.1-3.el7_9         cr         65 k
nss-tools                 x86_64        3.53.1-3.el7_9         cr        535 k
nss-util                  x86_64        3.53.1-1.el7_9         cr         79 k

Transaction Summary
================================================================================
Upgrade  2 Packages (+5 Dependent packages)

Total download size: 2.3 M
Is this ok [y/d/N]: 

引用自：https://serverfault.com/questions/1042221