log4j2-rce

Log4j FilteredObjectInputStream 우회 인증 없이 Log4j의 FilteredObjectInputStream을 통해 LogEvent를 역직렬화하는 모든 Java 서비스에서 RCE를 실행합니다. 자격 증명이 필요 없습니다. 2026년 8월 24일 GitHub 이슈 4255로 보고되었습니다. 동작 방식 Log4j는 안전한 역직렬화 래퍼로 FilteredObjectInputStreamFOIS을 제공합니다. 이 클래스는 resolveClass를 허용 목록allowlist으로 재정의하여...