2018年7月18日，美國甲骨文（Oracle）公司官方發布了季度補丁更新，其中修復了一個 Oracle WebLogic Server 遠程代碼執行漏洞 CVE-2018-2893，此漏洞是對編號為 CVE-2018-2628 修復的繞過，攻擊者同樣可以在未身份驗證的情況下對 WebLogic 進行攻擊。

影響范圍

通過遠程代碼執行漏洞 CVE-2018-2893，攻擊者可以在未授權的情況下遠程執行代碼。攻擊者只需要發送精心構造的T3協議數據，就可以獲取目標服務器的權限。攻擊者可利用該漏洞控制組件，影響數據的可用性、保密性和完整性。該漏洞的影響范圍如下：

Oracle WebLogic Server 10.3.6.0

Oracle WebLogic Server 12.1.3.0

Oracle WebLogic Server 12.2.1.2

Oracle WebLogic Server 12.2.1.3

以上均為官方支持的版本。

關于Oracle WebLogic Server

Oracle FusionMiddleware（Oracle 融合中間件）是甲骨文公司的一套面向企業和云環境的業務創新平臺。該平臺提供了中間件、軟件集合等功能。Oracle 的 WebLogic Server是其中的一個適用于云環境和傳統環境的應用服務器組件。

漏洞CVE-2018-2628

WebLogic Server 使用 T3 協議在 WebLogic Server 和客戶端間傳輸數據和通信，由于 WebLogic 的 T3 協議和 Web 協議使用相同的端口，導致在默認情況下，WebLogic Server T3 協議通信和 Web 端具有相同的訪問權限。易受攻擊的 WebLogic 服務允許未經身份驗證的攻擊者通過 T3 網絡訪問及破壞Oracle WebLogic Server。此漏洞的成功攻擊可能導致攻擊者接管 Oracle WebLogic Server，造成遠程代碼執行。