JBoss 4.x JBossMQ JMS 反序列化漏洞 CVE-2017-75复现

1.漏洞描述

Red Hat JBoss Application Server 是一款基于JavaEE的开源应用服务器。JBoss AS  4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation  Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利用该漏洞执行任意代码。

2.影响版本

JBoss AS 4.x及之前版本

3.漏洞环境搭建

cd vulhub/jboss/CVE-2017-7504
docker-compose build
docker-compose up -d

4.漏洞复现过程

浏览器访问127.0.0.1:8080

使用漏洞扫描工具进行扫描

python3 jexboss.py -host http://127.0.0.1:8080

扫描结果

 利用结果,成功获取shell,执行cat /etc/passwd

 5.修复方案

1、删除commons-collections-*.jar中的三个文件
orgapachecommonscollectionsfunctorsInvokerTransformer.class 
orgapachecommonscollectionsfunctorsInstantiateFactory.class 
orgapachecommonscollectionsfunctorsInstantiateTransfromer.class 

2.删除$JBOSS_HOME/[server]/all/deploy 和 $JBOSS_HOME/[server]/default/deploy下的
Jmx-console.war、Web-console.war两个文件夹

3.升级版本

原文始发于微信公众号（红豆芷浠）：JBoss 4.x JBossMQ JMS 反序列化漏洞 CVE-2017-75复现