Ubuntu 20.04 LTS环境下升级python3-rsa至4.1版本修复CVE-2020-13757漏洞的技术求助

您好，针对您在Ubuntu 20.04 LTS中遇到的python3-rsa 4.0-3版本存在CVE-2020-13757漏洞、且无法通过系统包管理器获取修复版4.1的问题，我给您几个无需升级整个系统的可行解决方案：

• 方法一：使用pip直接升级到指定版本
  系统自带的软件包版本滞后是Ubuntu LTS版本的常见情况，您可以通过pip工具绕过系统包管理器，直接安装4.1版本的rsa库。这里有两种操作方式：

  # 方式1：升级全局环境（可能影响系统依赖，建议谨慎操作）
  sudo pip3 install --upgrade rsa==4.1
  
  # 方式2：仅安装到当前用户目录（更安全，不会干扰系统全局依赖）
  pip3 install --user --upgrade rsa==4.1
  

  执行完成后，您可以通过pip3 show rsa命令查看版本是否成功升级到4.1。如果您的业务应用是运行在虚拟环境中的，直接进入虚拟环境执行pip install --upgrade rsa==4.1即可，完全不会影响系统环境。

• 方法二：从源码编译安装4.1版本
  如果pip安装遇到网络限制或依赖冲突问题，您可以手动编译安装源码版本：

  1. 获取python-rsa 4.1版本的源码包（可从官方代码仓库的对应tag中获取）
  2. 解压源码包并进入目录，执行以下编译安装命令：

  python3 setup.py build
  sudo python3 setup.py install
  

  同样，若不想修改系统全局环境，可添加--user参数将库安装到当前用户目录下。

• 方法三：自定义打包deb包（适合需保持系统包管理一致性的场景）
  如果您希望通过deb包的方式管理这个升级，避免pip与apt包管理系统的冲突，可以尝试自行打包python3-rsa 4.1版本的deb包：

  1. 下载4.1版本的源码，参考Ubuntu官方的Debian打包规范，修改debian目录下的配置文件（如版本号、依赖声明等）
  2. 使用dpkg-buildpackage命令生成deb包，之后通过sudo dpkg -i命令安装
     这个方法需要您具备一定的Debian打包经验，如果只是临时修复漏洞，前两种方法会更高效。

升级完成后，建议您验证相关业务功能是否正常运行，避免因版本升级导致依赖应用出现兼容性问题。

备注：内容来源于stack exchange，提问作者Kane