README.md

كشف CVE-2025-60787: تنفيذ الأوامر عن بُعد في motionEye عبر حقن الإعدادات

تنفيذ أوامر عن بُعد بدون مصادقة في motionEye <= 0.43.1b4

نظرة عامة على الثغرة

يحتوي هذا المستودع على قواعد كشف لـ CVE-2025-60787، وهي ثغرة تنفيذ أوامر عن بُعد بدون مصادقة في motionEye.

طريقة الاستغلال

يتم حقن الحمولة في:

• الإعدادات -> الصور الثابتة -> اسم ملف الصورة

مثال على حمولة PoC:

$(touch /tmp/test).%Y-%m-%d-%H-%M-%S

عند إعادة تشغيل motion، يتم تنفيذ أمر الصدفة وإنشاء /tmp/test.

تغطية الكشف

كشف YARA

افحص دليل إعدادات motionEye:

yara -r rules/yara/motioneye_rce_cve_2025_60787.yar /etc/motioneye/

كشف KQL (Microsoft Sentinel / Defender)

الاستعلامات المضمنة:

• 01_web_request_js_bypass_and_shell_payload.kql
• 02_process_execution_shell_spawned_by_motion.kql
• 03_file_creation_tmp_by_motion_process.kql
• 04_docker_exec_and_syslog_motioneye.kql
• 05_threat_hunting_motioneye_config_file_changes.kql

الاختبار

شغّل حاوية الثغرة:

docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge

تحقق من الإصدار:

docker logs motioneye | grep "motionEye server"

الوصول إلى واجهة الويب:

http://127.0.0.1:9999

تسجيل الدخول:

admin (blank password)

بنية المستودع

cve-2025-60787-detection/
├── README.md
├── LICENSE
├── .gitignore
├── rules/
│   ├── yara/
│   │   └── motioneye_rce_cve_2025_60787.yar
│   └── kql/
│       ├── 01_web_request_js_bypass_and_shell_payload.kql
│       ├── 02_process_execution_shell_spawned_by_motion.kql
│       ├── 03_file_creation_tmp_by_motion_process.kql
│       ├── 04_docker_exec_and_syslog_motioneye.kql
│       └── 05_threat_hunting_motioneye_config_file_changes.kql
└── docs/
    └── iocs.md

المراجع

• Exploit-DB ID: 52481
• CVE-2025-60787
• مشروع motionEye

الاعتمادات

الترخيص

رخصة MIT - انظر ملف LICENSE.