Пусть JSF поместит его в сеанс с автоматически сгенерированным и уникальным ключом, передаст этот ключ в качестве параметра запроса или pathinfo сервлету и, наконец, позволит сервлету удалить его из сеанса по ключу и использовать его.
Бин JSF (во время инициализации или метода действия):
this.key = UUID.randomUUID().toString();
externalContext.getSessionMap().put(key, object);
Представление JSF:
<h:graphicImage value="servleturl?key=#{bean.key}" />
Сервлет:
String key = request.getParameter("key");
Object object = request.getSession().getAttribute(key);
request.getSession().removeAttribute(key);
// ...