リモートホストは、逆シリアル化フィルタリングに FilteredObjectInputStream(FOIS)を使用する Log4j 2 シリアル化 LogEvent TCP レシーバー(log4j-samples リポジトリに付属の ObjectInputStreamLogEventBridge サンプルなど)を実行しています。

Log4j 2 FOIS は、LogEventProxy が内部メッセージを MarshalledObject として保存するため、java.rmi.MarshalledObject を許可リストに載せます。ただし、MarshalledObject.get() は、2 番目の UNFILTERED ObjectInputStream を開き、その objBytes ペイロードを読み取り、フィルターを無効にします。受信者のTCPポートに接続できる認証されていないリモートの攻撃者が、CommonsCollectionsガジェットチェーンを埋め込むmarshalledMessageの特別に細工されたシリアル化LogEventProxyを送信する可能性があります。クラスパスに Commons Collections <= 3.2.1 が含まれるレシーバーで逆シリアル化されると、任意の OS コマンドが実行されます。

悪用に必要な条件:
  - アプリケーションが、認証されていない FOIS ベースのシリアル化された LogEvent TCP レシーバー(認証なし、TLS なし)を展開します。
  - Commons Collections 3.2.1 (またはそれ以前)が JVM クラスパスにあります。
    (CC 3.2.2 は、ガジェットが依存する安全でない関数シリアル化を無効にします。CC 3.2.2 は影響を受けません。)
  - java.rmi.MarshalledObject または MarshalledObject 子孫タイプを拒否する追加の jdk.serialFilter はありません。

悪用はファイア・アンド・フォーゲットです:受信者はイベントを警告なしで処理し、悪用されても「処理済みイベントはOK」と記録されます。唯一信頼できる検出は、ターゲットからの帯域外コールバックです。

このプラグインは 2 つの検出ステージを使用します。1 つ目は、悪用コマンドが Nessus 制御のホスト名の DNS ルックアップをトリガーする DNS コールバックです。
2 つ目は、直接 TCP ソケットコールバックです。このコールバックでは、ターゲットがスキャナーに接続して一意のコントロールトークンを送信します。いずれかのステージで確認された応答は、サーバー側でコードが実行されたことを証明します。

検出

Apache Log4j 2.x FilteredObjectInputStream許可リストバイパスRCE(Log4j #4255)

critical Nessus プラグイン ID 341335

バージョン 1.1