对于任何一个以对象为参数的RMI接口，攻击者可以发一个精心构建的对象，迫使服务器端将这个对象按任何一个存在于class path中的可序列化类来反序列化。在反序列化的过程中调用系统命令执行的类及对应的方法，达到远程命令执行的效果。

由于漏洞修复方案不停地被绕过，直到8u241之前的所有版本，仍然可利用这个RMI Registry相关的漏洞。所以最好的办法是升级JDK到8u241之后的版本。