CVE-2026-78306 — حقن أوامر DJI DUML عبر Bluetooth POC

الوصف

تكشف طائرات DJI بدون طيار عن واجهة Bluetooth تُستخدم لإنشاء اتصال بواجهة Wi-Fi الخاصة بالطائرة وتبادل بيانات اعتماد Wi-Fi.

تتحقق واجهة Bluetooth من UUID الموثوق للجهاز لثلاثة أوامر:

• Get SSID
• Get PSK
• Get MAC address

الأوامر المتبقية لا تتطلب نفس فحص المصادقة. ونتيجة لذلك، قد يتمكن مهاجم بعيد ضمن نطاق Bluetooth من إرسال أوامر DUML غير مصرح بها إلى الطائرة.

اعتمادًا على الأمر، قد يتمكن المهاجم من تعديل إعدادات الطائرة، بما في ذلك تغيير كلمة مرور Wi-Fi وربما الحصول على وصول إلى الشبكة الداخلية للطائرة، وتمكين أو تعطيل واجهات الراديو، وإعادة تشغيل الطائرة أو إيقاف تشغيلها، وإعادة تعيين الإعدادات، وتنفيذ إجراءات أخرى.

يوفر POC سجل أوامر يسمح باختبار الأوامر المتاحة دون تعديل كود المصدر Python. يتم تعريف سجل الأوامر، بما في ذلك الأمر والمستقبل ومتطلبات المصادقة ووصف كل أمر، في commands.json.

المنتجات المتأثرة

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

التثبيت

1. تثبيت POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. تشغيل الطائرة

3. تشغيل POC

python3 ble_console.py

4. بعد الفحص، اختر SSID الخاص بالطائرة

مرجع الأوامر

الأوامر التالية مسجلة في commands.json. يفصل POC الأوامر إلى عمليات القراءة، والإعدادات، والتحكم بالراديو، وإعادة التعيين، والنظام، والمعاملات.

أوامر القراءة

أوامر كتابة الإعدادات

تُصنّف هذه العمليات على أنها danger في POC، وبالتالي تتطلب تأكيدًا صريحًا قبل إرسالها.

أوامر التحكم بالراديو

يتم تنفيذ أوامر التحكم بالراديو من خلال معالجات dji_network المقابلة.

أوامر إعادة التعيين

يصنّف POC كلا العمليتين على أنهما خطيرتان لأنهما تعدّلان الإعدادات الدائمة.

أوامر النظام

أوامر المعاملات

يحصل POC على أسماء المعاملات من flyc_parameters.txt ويوفر اختيارًا تفاعليًا للمعاملات. لإضافة معامل معروف تريد تعديله أو إعادة تعيينه، أضف اسمه إلى flyc_parameters.txt. سيصبح المعامل بعد ذلك متاحًا للاختيار عند تشغيل POC.

إضافة أمر: حرّر commands.json، وليس الكود

تُنشأ القائمة من commands.json عند بدء التشغيل. لإضافة أمر، أضف كائنًا جديدًا إلى قائمة commands الخاصة بقسم ما. سيظهر الأمر في المرة التالية التي يتم فيها تشغيل POC.

مثال:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

حقول الأمر

المستقبل الافتراضي هو 0x07 (network:0) والمرسل الافتراضي هو 0x02 (mobile:0).

منشئات الحمولة

تُعرّف منشئات الحمولة التفاعلية في payload_builders.py.

تشمل المنشئات المتاحة:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

لإضافة منشئ جديد، نفّذ الدالة، وسجّلها في BUILDERS، وأشر إلى اسمها من commands.json.

شاشة التأكيد

الأوامر المصنّفة على أنها danger تتطلب تأكيدًا صريحًا قبل الإرسال.

تعرض شاشة التأكيد معلومات مثل:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

تُؤخذ معلومات DOES من حقل note الخاص بالأمر، بينما تُؤخذ التحذيرات الإضافية من حقل warn في commands.json.

المعاملات

توفر وظيفة Change a parameter وصولًا إلى معاملات الإعدادات المعروفة المدرجة في flyc_parameters.txt.

يمكن اختيار معامل بالاسم، وتزويده بقيمة، وتحويله إلى عرض little-endian المحدد، وإرساله باستخدام set_cfg_item (0x03/0xf9).

تستخدم Reset a parameter الأمر reset_cfg_item (0x03/0xfa) لإعادة المعامل المحدد إلى الوضع الافتراضي للبرنامج الثابت.

وحدات الماكرو

يوفر POC أيضًا عدة وحدات ماكرو معرّفة مسبقًا:

تُعرّف وحدات الماكرو بشكل منفصل عن إدخالات الأوامر الفردية.

الملفات

⚠️ إخلاء المسؤولية

⚠️ تحذير: هذا الإثبات العملي مخصص بشكل صارم للأغراض التعليمية، والبحث الأمني، واختبار الاختراق المصرح به.

يوضح POC هذا مشكلات أمنية في واجهة معالجة أوامر DJI Bluetooth/DUML. يمكن لبعض الأوامر تعديل إعدادات الجهاز، أو تعطيل واجهات الراديو، أو مقاطعة الاتصال، أو إعادة تشغيل الطائرة أو إيقاف تشغيلها، أو إعادة تعيين الإعدادات، أو حذف البيانات المخزنة.

⚠️ لا تستخدم POC هذا ضد أي طائرة أو جهاز أو شبكة أو نظام لا تملكه أو لا تملك تفويضًا صريحًا لاختباره.

قد تتسبب بعض الأوامر في فقدان البيانات، أو تغييرات في الإعدادات، أو فقدان الاتصال، أو تعطيل الجهاز، أو غيرها من العواقب غير المقصودة. يجب إجراء الاختبار فقط في بيئة خاضعة للرقابة حيث لا تكون الطائرة والأشخاص والممتلكات المحيطة في خطر.

المؤلفون غير مسؤولين عن أي ضرر أو فقدان بيانات أو انقطاع خدمة أو تشغيل طائرة أو أي عواقب أخرى ناتجة عن استخدام أو إساءة استخدام POC هذا.

⚠️ باستخدامك POC هذا، فإنك تتحمل مسؤولية ضمان أن اختبارك مصرح به ويمتثل لجميع القوانين واللوائح ومتطلبات الإفصاح المسؤول المعمول بها.