【漏洞复现】JBoss 4.x JBossMQ JMS反序列化

影响范围

JBoss AS <=4.x

漏洞概述

在JBoss AS 4.x及之前版本的JbossMQ实现过程中，JMS over HTTP Invocation Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可构造序列化数据利用该漏洞来执行任意代码并获取服务器端的权限

环境搭建

在这里我们使用Vulhub来构建环境：

docker compose up -d

环境启动后访问地址为：

http://your-ip:8080

命令执行

漏洞存在该路径下/jbossmq-httpil/HTTPServerILServlet