JBoss 4.x JBossMQ JMS 反序列化漏洞 CVE-2017-75

1.漏洞描述

Red Hat JBoss Application Server 是一款基于JavaEE的开源应用服务器。JBoss AS  4.x及之前版本中，JbossMQ实现过程的JMS over HTTP Invocation  Layer的HTTPServerILServlet.java文件存在反序列化漏洞，远程攻击者可借助特制的序列化数据利用该漏洞执行任意代码。

2.影响版本

JBoss AS 4.x及之前版本

3.漏洞环境搭建

cd vulhub/jboss/CVE-2017-7504
docker-compose build
docker-compose up -d

4.漏洞复现过程

 

浏览器访问127.0.0.1:8080

使用漏洞扫描工具进行扫描

python3 jexboss.py -host http://127.0.0.1:8080

扫描结果

 

 利用结果,成功获取shell

 

 5.修复方案

1、删除commons-collections-*.jar中的三个文件
\org\apache\commons\collections\functors\InvokerTransformer.class 
\org\apache\commons\collections\functors\InstantiateFactory.class 
\org\apache\commons\collections\functors\InstantiateTransfromer.class 
​
2.删除$JBOSS_HOME/[server]/all/deploy 和 $JBOSS_HOME/[server]/default/deploy下的
Jmx-console.war、Web-console.war两个文件夹
​
3.升级版本