취약점

요약

MotionEye의 다단계 체인은 원격 코드 실행으로 이어집니다. 체인은 다음을 결합합니다.

1. 절대 경로를 사용하는 로컬 모션 카메라에 대한 사진 다운로드 엔드포인트를 통한 임의 파일 읽기(LFI).
2. Pass-the-hash 관리자 인증은 비밀번호 해시로 계산된 요청 서명을 수락하기 때문입니다.
3. 공격자가 제어하는 ​​타르볼을 'CONF_PATH'로 추출하는 안전하지 않은 구성 복원.
4. /action/<id>/<action>을 통한 인증되지 않은 작업 실행.

일반 사용자 비밀번호가 설정되지 않은 경우, 체인은 인증되지 않은 RCE가 됩니다. 일반 비밀번호가 존재하는 경우 일반 사용자는 계속해서 관리자 에스컬레이션 및 RCE를 달성할 수 있습니다.

---

영향을 받는 코드(motionEye repo)

1) LFI(절대 경로) — 사진/<id>/다운로드

파일:

• motioneye/motioneye/handlers/picture.py → download() (로컬 모션 카메라 분기)
• motioneye/motioneye/mediafiles.py → get_media_content()

문제: get_media_content()는 ..만 차단한 다음 target_dir을 path와 결합합니다. 절대 경로(예: /etc/hosts)는 조인을 우회하고 직접 읽습니다.

2) Pass-the-hash 관리자 인증

파일: motioneye/motioneye/handlers/base.py → get_current_user()

문제: 서명 확인에서는 관리자 비밀번호 해시(SHA1)를 키로 사용하여 계산된 서명을 허용합니다. 해시가 LFI를 통해 유출된 경우 일반 텍스트 비밀번호 없이 관리자 액세스를 얻을 수 있습니다.

3) 안전하지 않은 복원(tar 추출)

파일: motioneye/motioneye/config.py → restore()

문제: tar zxC CONF_PATH는 항목을 삭제하지 않고 사용자 제공 데이터에 사용됩니다. 제작된 tar는 실행 파일을 CONF_PATH에 드롭할 수 있습니다.

4) 인증되지 않은 작업 실행

파일: motioneye/motioneye/handlers/action.py → post()

문제: 인증 데코레이터가 없습니다. subprocess.Popen을 사용하여 CONF_PATH에 있는 <action>_<camera_id>를 실행합니다.

---

익스플로잇 체인(상세)

1. 로컬 모션 카메라 ID를 생성하거나 찾습니다(취약한 LFI 경로에는 로컬 모션 카메라가 필요합니다).
2. 사진 다운로드를 통한 LFI:
   • 요청: /picture/<id>/download/<absolute_path>
   • 예: /picture/1/download/%2Fetc%2Fhosts
   • 결과: 임의의 파일을 읽었습니다.
3. /etc/motioneye/motion.conf에서 관리자 해시 읽기:
   • @admin_password <SHA1_HASH>를 포함합니다.
4. 해시 전달 관리자:
   • 해시를 키로 사용하여 /config/restore?_username=admin에 대한 서명을 계산합니다.
   • 관리자 액세스는 해시 기반 서명으로 허용됩니다.
5. 악성 tar 복원:
   • lock_<id>(또는 모든 작업)가 포함된 tar를 실행 파일로 업로드합니다.
   • 파일은 복원을 통해 CONF_PATH에 기록됩니다.
6. 인증되지 않은 작업 트리거:
   • POST /action/<id>/lock
   • 서버는 주입된 파일을 실행합니다.

---

실행 증명(관찰된 출력)

로컬 테스트에서 삽입된 작업은 마커 파일을 생성했습니다.

/tmp/meye_rce_ok

확인 명령:

docker exec -it Motioneye ls -la /tmp | grep meye_rce_ok

예제 출력:

-rw-r--r-- 1 루트 루트 0 ... /tmp/meye_rce_ok

---

전제조건/요구사항

• 최소한 하나의 로컬 모션 카메라가 존재합니다(예: netcam_url, videodevice).
• picture/<id>/download에 접근 가능:
  • @normal_password가 비어 있으면 인증되지 않음(일부 설치에서는 기본값).
  • 일반 비밀번호가 설정된 경우 인증 필요(공격자는 일반 자격 증명이 필요함)

---

영향

• Unauth RCE(일반 비밀번호가 설정되지 않음).
• 인증된 RCE (일반 사용자 → 관리자 → RCE).
• 서버 파일 시스템에서 임의의 파일을 읽습니다.
• MotionEye 프로세스 계정이 완전히 손상되었습니다.

---

제안된 수정 사항

1. get_media_content() 및 get_media_path()에서 절대 경로를 차단합니다.
2. 해시 기반 서명 수락 제거; 일반 텍스트 비밀번호로 계산된 서명만 허용합니다.
3. 복원 강화: 절대 경로, .., 심볼릭 링크, 비정규 파일을 거부합니다.
4. ActionHandler에 대한 인증 필요(관리자 전용).