POC JBoss 5.x-6.x 反序列化漏洞（CVE-2017-12149）

[Shacker已验证会员]

## 漏洞概述

JBoss 的 HttpInvoker 组件中的 ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。

## 影响范围

```http
JBoss AS 5.X
JBoss AS 6.X
```

## EXP

图形化利用工具 jboss_CVE-2017-12149.jar [@YunXu](https://github.com/yunxu1)

![](jboss.jpg)

 

POC  Harbor

POC  Boss