KnowSafe 安全预警：PlantUML 服务器端请求伪造（CVE-2022-1379）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-1379 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

PlantUML是一个允许快速编写的组件。用于从文本描述生成图表。

PlantUML 1.2022.5之前版本存在服务器端请求伪造漏洞，攻击者利用该漏洞可绕过URL限制并实现服务器端请求伪造 (SSRF)。

影响范围

应用：plantuml plantuml（影响面 Up to (excluding) 1.2022.5）

系统：debian_10 plantuml（影响面 Up to (excluding) 1.2018.13+ds-1）

系统：debian_11 plantuml（影响面 Up to (excluding) 1.2020.2+ds-1）

系统：debian_12 plantuml（影响面 Up to (excluding) 1.2020.2+ds-3）

系统：fedora_35 plantuml（影响面 Up to (excluding) 1.2022.5-1.fc35）

系统：fedora_36 plantuml（影响面 Up to (excluding) 1.2022.5-1.fc36）

系统：fedora_37 plantuml（影响面 Up to (excluding) 1.2022.5-1.fc37）

系统：fedora_EPEL_9 plantuml（影响面 Up to (excluding) 1.2022.5-1.el9）

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/plantuml/plantuml/commit/93e5964e5f35914f3f7b89de620c596795550083

参考信息

https://github.com/plantuml/plantuml/commit/93e5964e5f35914f3f7b89de620c596795550083

https://huntr.dev/bounties/0d737527-86e1-41d1-9d37-b2de36bc063a

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CHUE4G5CAJUD7L2QPJF6U4JYQTP7CNNL/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/J4DP36G2VBOZUNQIUZ5LVJKZIVO4SDAI/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。