README.md

Détection de CVE-2025-60787 : RCE dans motionEye par injection de configuration

Exécution de code à distance non authentifiée dans motionEye <= 0.43.1b4

Aperçu de la vulnérabilité

Ce dépôt contient des règles de détection pour CVE-2025-60787, une vulnérabilité RCE non authentifiée dans motionEye.

Méthode d'exploitation

Charge utile injectée dans :

• Paramètres → Images fixes → Nom du fichier image

Exemple de charge utile PoC :

$(touch /tmp/test).%Y-%m-%d-%H-%M-%S

Lorsque motion redémarre, la commande shell s'exécute et crée /tmp/test.

Couverture de détection

Détection YARA

Scannez le répertoire de configuration de motionEye :

yara -r rules/yara/motioneye_rce_cve_2025_60787.yar /etc/motioneye/

Détection KQL (Microsoft Sentinel / Defender)

Requêtes incluses :

• 01_web_request_js_bypass_and_shell_payload.kql
• 02_process_execution_shell_spawned_by_motion.kql
• 03_file_creation_tmp_by_motion_process.kql
• 04_docker_exec_and_syslog_motioneye.kql
• 05_threat_hunting_motioneye_config_file_changes.kql

Tests

Démarrez le conteneur vulnérable :

docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge

Vérifiez la version :

docker logs motioneye | grep "motionEye server"

Accédez à l'interface Web :

http://127.0.0.1:9999

Connexion :

admin (mot de passe vide)

Structure du dépôt

cve-2025-60787-detection/
├── README.md
├── LICENSE
├── .gitignore
├── rules/
│   ├── yara/
│   │   └── motioneye_rce_cve_2025_60787.yar
│   └── kql/
│       ├── 01_web_request_js_bypass_and_shell_payload.kql
│       ├── 02_process_execution_shell_spawned_by_motion.kql
│       ├── 03_file_creation_tmp_by_motion_process.kql
│       ├── 04_docker_exec_and_syslog_motioneye.kql
│       └── 05_threat_hunting_motioneye_config_file_changes.kql
└── docs/
    └── iocs.md

Références

• Exploit-DB ID : 52481
• CVE-2025-60787
• Projet motionEye

Crédits

Licence

Licence MIT - Voir le fichier LICENSE.