远程主机正在运行使用 FilteredObjectInputStream （FOIS） 进行反序列化筛选的 Log4j 2 serialized-LogEvent TCP 接收器（例如 log4j-samples 存储库中随附的 ObjectInputStreamLogEventBridge 示例）。

Log4j 2 FOIS 将 java.rmi.MarshalledObject 列入允许列表，因为 LogEventProxy 将内部消息存储为 MarshalledObject。但是，MarshalledObject.get（） 打开第二个未过滤的 ObjectInputStream 来读取其 objBytes 负载，从而破坏过滤器。可连接到接收方 TCP 端口的未经认证的远程攻击者可发送其 marshalledMessage 嵌入 CommonsCollections 小工具链的特别构建的序列化 LogEventProxy。在类路径包含 Commons Collections <= 3.2.1的接收器上反序列化时，这会导致执行任意操作系统命令。

利用所需的条件：
  - 应用程序部署未经身份验证的基于 FOIS 的序列化 LogEvent TCP 接收器（无认证、无 TLS）。
  - Commons Collections 3.2.1 （或更早版本）位于 JVM 类路径上。
    （CC 3.2.2 禁用小工具所依赖的不安全的函子序列化;CC 3.2.2 不受影响。）
  - 没有其他拒绝 java.rmi.MarshalledObject 或 MarshalledObject 后代类型的 jdk.serialFilter。

此利用方式为即忘却：接收方会静默处理事件，即使遭到利用，仍会记录“已处理事件正常”。唯一可靠的检测是来自目标的带外回调。

此插件使用两个检测阶段：第一个是 DNS 回调，其中利用命令触发 DNS 查找受 Nessus 控制的主机名;
第二种是直接的 TCP 套接字回调，目标连接回扫描仪并发送唯一的控制标记。任一阶段的确认响应证明服务器端代码执行。

检测

Apache Log4j 2.x FilteredObjectInputStream 允许列表绕过 RCE （Log4j #4255）

critical Nessus 插件 ID 341335

版本 1.1