MySQL Dumper, das es sowohl als Stand-alone Tool als auch als TYPO3 Extension gibt, hat offenbar eine gravierende Sicherheitslücke. Diese Lücke erlaubt es einem Angreifer, Lese- und Schreibrecht für die Datenbank zu erlangen und sie komplett herunterzuladen, sofern er den Pfad der MySQL-Dumper-Installation errät. Bei der TYPO3-Extension ist dieser Pfad vorgegeben und somit allgemein bekannt, aber auch wer das Stand-alone Tool unter www.domain.com/mysqldumper installiert hat lebt gefährlich. Brisant ist, dass MySQL Dumper selbst eindringlich empfiehlt, die Installation mit einem Passwort zu schützen, dass aber der vom Tool selbst angelegt Passwortschutz unterlaufen werden kann – der Anwender wiegt sich deshalb in falscher Sicherheit.
Die Sicherheitslücke wurde in einem Bulletin des TYPO3 Security Teams publiziert. Diesem ist auch zu entnehmen, dass die Autoren von MySQL Dumper während 3 Wochen nicht auf entsprechende Warnungen reagiert haben. Auch heute liest man auf www.mysqldumper.de nichts von diesem gravierenden Sicherheitsproblem. Unter den gegebenen Umständen muss ich meine einstige Empfehlung für dieses Tool rückgängig machen. Wenn Sie trotzdem nicht auf MySQL Dumper verzichten wollen, dann ergreifen Sie zumindest die folgenden Sicherheitsmassnahmen:
- Installieren Sie MySQL Dumper in einem Verzeichnis, dessen Pfad niemand erraten kann.
- Legen Sie den Passwortschutz für dieses Verzeichnis manuell an (d.h. nicht mit MySQL Dumper).
- Verzichten Sie auf die TYPO3 Extension, nutzen Sie nur das Stand-alone Tool.
