README.md

Detección de CVE-2025-60787: RCE en motionEye mediante inyección de configuración

Ejecución remota de código no autenticada en motionEye <= 0.43.1b4

Resumen de la vulnerabilidad

Este repositorio contiene reglas de detección para CVE-2025-60787, una vulnerabilidad de RCE no autenticada en motionEye.

Método de explotación

Payload inyectado en:

• Ajustes -> Imágenes fijas -> Nombre de archivo de imagen

Ejemplo de payload PoC:

$(touch /tmp/test).%Y-%m-%d-%H-%M-%S

Cuando motion se reinicia, el comando de shell se ejecuta y crea /tmp/test.

Cobertura de detección

Detección YARA

Escanee el directorio de configuración de motionEye:

yara -r rules/yara/motioneye_rce_cve_2025_60787.yar /etc/motioneye/

Detección KQL (Microsoft Sentinel / Defender)

Consultas incluidas:

• 01_web_request_js_bypass_and_shell_payload.kql
• 02_process_execution_shell_spawned_by_motion.kql
• 03_file_creation_tmp_by_motion_process.kql
• 04_docker_exec_and_syslog_motioneye.kql
• 05_threat_hunting_motioneye_config_file_changes.kql

Pruebas

Inicie el contenedor vulnerable:

docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge

Verifique la versión:

docker logs motioneye | grep "motionEye server"

Acceda a la interfaz web:

http://127.0.0.1:9999

Inicie sesión:

admin (blank password)

Estructura del repositorio

cve-2025-60787-detection/
├── README.md
├── LICENSE
├── .gitignore
├── rules/
│   ├── yara/
│   │   └── motioneye_rce_cve_2025_60787.yar
│   └── kql/
│       ├── 01_web_request_js_bypass_and_shell_payload.kql
│       ├── 02_process_execution_shell_spawned_by_motion.kql
│       ├── 03_file_creation_tmp_by_motion_process.kql
│       ├── 04_docker_exec_and_syslog_motioneye.kql
│       └── 05_threat_hunting_motioneye_config_file_changes.kql
└── docs/
    └── iocs.md

Referencias

• Exploit-DB ID: 52481
• CVE-2025-60787
• Proyecto motionEye

Créditos

Licencia

Licencia MIT: consulte el archivo LICENSE.