Die Website MySQL.com, die Angebote, Services und Informationen zur freien Datenbank anbietet, ist mittels SQL-Injection angreifbar. Auch Websites von MySQL-Besitzer Sun/Oracle zeigen sich verwundbar.
Wie auf der Fulldisclosure-Liste zu lesen ist, ist es Angreifern gelungen, die Website zu kompromittieren und unter anderem auch Nutzernamen und Passwörter abzugreifen. Die Angreifer haben bei Fulldisclosure einen Dump der gekaperten Daten veröffentlicht. Ein Sicherheitsexperte vom Security-Dienstleister Sophos hält das Einfallstor für den Angriff weniger für ein Problem von MySQL als vielmehr der Umsetzung auf der MySQL-Website.
Ein ähnliches Szenario hat laut dem Sophos-Experten auch zum erfolgreichen Angriff auf die Websites von Sun/Oracle verholfen. Auch dort sollen Tabellenstrukturen und Mails sichtbar gewesen sein, berichtet die Website Tinkode27. Es sei aber nicht gelungen, wie bei MySQL auch an Passwörter heranzukommen.
