log4j2-rce

Log4j FilteredObjectInputStream バイパス Log4j の FilteredObjectInputStream を介して LogEvent をデシリアライズするあらゆる Java サービスに対する事前認証 RCE。認証情報は不要です。 2026年8月24日に GitHub issue 4255 として報告されました。 動作概要 Log4j は安全なデシリアライズラッパーとして FilteredObjectInputStream（FOIS）を同梱しています。これは resolveClass をオーバーライドし、許可リストにより...