Regole di rilevamento e firme YARA/KQL per CVE-2025-60787, una RCE non autenticata in motionEye tramite iniezione di configurazione, con monitoraggio dell'esecuzione dei processi e della creazione di file.
Esecuzione remota di codice non autenticata in motionEye <= 0.43.1b4
Questo repository contiene regole di rilevamento per CVE-2025-60787, una vulnerabilità di RCE non autenticata in motionEye.
Payload iniettato in:
Esempio di payload PoC:
$(touch /tmp/test).%Y-%m-%d-%H-%M-%S
Quando motion viene riavviato, il comando shell viene eseguito e crea /tmp/test.
| ID | Detection Name | Description |
|---|---|---|
| 01 | Rilevazione richieste web | Identifica tentativi di bypass JS e payload di shell |
| 02 | Esecuzione di processi | Rileva motion che genera processi shell |
| 03 | Creazione di file | Rileva file sospetti in /tmp |
| 04 | Docker/Syslog | Monitora l'attività dei container |
| 05 | Caccia alle minacce | Rileva manomissioni della configurazione |
Scansione della directory di configurazione di motionEye:
yara -r rules/yara/motioneye_rce_cve_2025_60787.yar /etc/motioneye/
Query incluse:
Avvia il container vulnerabile:
docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge
Verifica la versione:
docker logs motioneye | grep "motionEye server"
Accedi alla Web UI:
http://127.0.0.1:9999
Login:
admin (blank password)
cve-2025-60787-detection/
├── README.md
├── LICENSE
├── .gitignore
├── rules/
│ ├── yara/
│ │ └── motioneye_rce_cve_2025_60787.yar
│ └── kql/
│ ├── 01_web_request_js_bypass_and_shell_payload.kql
│ ├── 02_process_execution_shell_spawned_by_motion.kql
│ ├── 03_file_creation_tmp_by_motion_process.kql
│ ├── 04_docker_exec_and_syslog_motioneye.kql
│ └── 05_threat_hunting_motioneye_config_file_changes.kql
└── docs/
└── iocs.md
| Ruolo | Autore |
|---|---|
| Scoperta della vulnerabilità e PoC | prabhatverma47 |
| Ingegneria delle rilevazioni | Security Research Community |
Licenza MIT - Vedi il file LICENSE.