PT-2022-12031 · Unknown+1 · Motioneyeos+1

Pizza Power · Publicado 2022-01-31 · Atualizado 2022-07-12 · CVE-2021-44255

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

MotionEye versões 0.42.1 e anteriores

MotionEyeOS versões 20200606 e anteriores

Descrição

A vulnerabilidade permite que um invasor remoto envie um arquivo de backup de configuração contendo um arquivo Python pickle malicioso, o que executará código arbitrário no servidor. Isso pode ocorrer quando uma instalação é acessível pela Internet e utiliza credenciais de autenticação inexistentes ou fracas.

Recomendações

Para as versões 0.42.1 e anteriores do MotionEye, considere manter a instalação fora da Internet e use credenciais fortes para fornecer proteção contra este problema.

Para as versões 20200606 e anteriores do MotionEyeOS, considere manter a instalação fora da Internet e use credenciais fortes para fornecer proteção contra este problema.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authentication

Unrestricted File Upload

Enumeração de Fraquezas

CWE-306

CWE-434

Identificadores relacionados

CVE-2021-44255

GHSA-M2C7-42RF-C62F

Produtos afetados

Motioneye

Motioneyeos

Referências · 7

• https://github.com/ccrisan/motioneyeos/issues/2843 · Nota
• https://github.com/ccrisan/motioneye · Nota
• https://t.me/cibsecurity/36575 · Publicação no Telegram
• https://pizzapower.me/2021/10/09/self-hosted-security-part-1-motioneye · Nota
• https://osv.dev/vulnerability/GHSA-m2c7-42rf-c62f · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-44255 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-44255 · Nota de Segurança