遠端主機正在執行使用 FilteredObjectInputStream （FOIS） 進行還原序列化篩選的 Log4j 2 序列化 LogEvent TCP 接收器 （例如 log4j-samples 存放庫中隨附的 ObjectInputStreamLogEventBridge 範例）。

Log4j 2 FOIS 會將 java.rmi.MarshalledObject 列入允許清單，因為 LogEventProxy 會將內部訊息儲存為 MarshalledObject。不過，MarshalledObject.get（） 會開啟第二個 UNFILTERED ObjectInputStream 來讀取其 objBytes 承載，從而擊敗篩選器。可連線至接收端 TCP 連接埠的未經驗證的遠端攻擊者可傳送特製的序列化 LogEventProxy，其 marshalledMessage 內嵌 CommonsCollections 小工具鏈。當在類別路徑包含 Commons Collections <= 3.2.1的接收器上進行反序列化時，這會導致任意作業系統命令執行。

利用所需的條件：
  - 應用程式部署未經驗證的 FOIS 型序列化 LogEvent TCP 接收器 （無驗證，無 TLS）。
  - Commons Collections 3.2.1 （或更早版本） 位於 JVM 類別路徑上。
    （CC 3.2.2 會停用小工具所依賴的不安全函子序列化;CC 3.2.2 不受影響。
  - 沒有其他 jdk.serialFilter 拒絕 java.rmi.MarshalledObject 或 MarshalledObject 子代類型。

該漏洞利用是一勞永逸的：接收者以靜默方式處理事件，即使被利用也會記錄「已處理的事件正常」。唯一可靠的偵測是來自目標的頻外回呼。

此外掛程式使用兩個偵測階段：首先是 DNS 回呼，其中惡意利用命令會觸發 Nessus 控制的主機名稱的 DNS 查詢;
其次，直接 TCP 通訊端回呼，目標會連線回掃描器並傳送唯一的控制權杖。任一階段的確認回應可證明伺服器端程式碼執行。

偵測

Apache Log4j 2.x FilteredObjectInputStream 允許清單繞過 RCE （Log4j #4255）

critical Nessus Plugin ID 341335

版本 1.2