README.md

CVE-2025-60787 डिटेक्शन: कॉन्फ़िग इंजेक्शन के माध्यम से motionEye RCE

motionEye <= 0.43.1b4 में बिना प्रमाणीकरण वाला रिमोट कोड निष्पादन

भेद्यता अवलोकन

इस रिपॉजिटरी में CVE-2025-60787 के लिए डिटेक्शन नियम शामिल हैं, जो motionEye में एक बिना प्रमाणीकरण वाली RCE भेद्यता है।

शोषण विधि

पेलोड इसमें इंजेक्ट किया जाता है:

• Settings -> Still Images -> Image File Name

उदाहरण PoC पेलोड:

$(touch /tmp/test).%Y-%m-%d-%H-%M-%S

जब motion पुनः प्रारंभ होता है, तो शेल कमांड निष्पादित होती है और /tmp/test बनाती है।

डिटेक्शन कवरेज

YARA डिटेक्शन

motionEye कॉन्फ़िगरेशन निर्देशिका स्कैन करें:

yara -r rules/yara/motioneye_rce_cve_2025_60787.yar /etc/motioneye/

KQL डिटेक्शन (Microsoft Sentinel / Defender)

शामिल क्वेरीज़:

• 01_web_request_js_bypass_and_shell_payload.kql
• 02_process_execution_shell_spawned_by_motion.kql
• 03_file_creation_tmp_by_motion_process.kql
• 04_docker_exec_and_syslog_motioneye.kql
• 05_threat_hunting_motioneye_config_file_changes.kql

परीक्षण

भेद्य कंटेनर प्रारंभ करें:

docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge

संस्करण सत्यापित करें:

docker logs motioneye | grep "motionEye server"

वेब UI तक पहुँचें:

http://127.0.0.1:9999

लॉगिन:

admin (blank password)

रिपॉजिटरी संरचना

cve-2025-60787-detection/
├── README.md
├── LICENSE
├── .gitignore
├── rules/
│   ├── yara/
│   │   └── motioneye_rce_cve_2025_60787.yar
│   └── kql/
│       ├── 01_web_request_js_bypass_and_shell_payload.kql
│       ├── 02_process_execution_shell_spawned_by_motion.kql
│       ├── 03_file_creation_tmp_by_motion_process.kql
│       ├── 04_docker_exec_and_syslog_motioneye.kql
│       └── 05_threat_hunting_motioneye_config_file_changes.kql
└── docs/
    └── iocs.md

संदर्भ

• Exploit-DB ID: 52481
• CVE-2025-60787
• motionEye Project

क्रेडिट्स

लाइसेंस

MIT लाइसेंस - LICENSE फ़ाइल देखें।