CVE-2026-78306 — DJI Drone DUML Command Injection über Bluetooth POC

CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-78306

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-78306

Beschreibung

DJI-Drohnen stellen eine Bluetooth-Schnittstelle bereit, die verwendet wird, um eine Verbindung zur Wi-Fi-Schnittstelle der Drohne herzustellen und Wi-Fi-Anmeldedaten auszutauschen.

Die Bluetooth-Schnittstelle prüft die vertrauenswürdige UUID des Geräts für drei Befehle:

• SSID abrufen
• PSK abrufen
• MAC-Adresse abrufen

Die übrigen Befehle erfordern nicht dieselbe Authentifizierungsprüfung. Infolgedessen kann ein Angreifer in Bluetooth-Reichweite möglicherweise unbefugte DUML-Befehle an die Drohne senden.

Je nach Befehl kann ein Angreifer möglicherweise die Konfiguration der Drohne ändern, einschließlich des Änderns des Wi-Fi-Passworts und möglicherweise des Erlangens von Zugriff auf das interne Netzwerk der Drohne; Funk-Schnittstellen aktivieren oder deaktivieren; das Fluggerät neu starten oder ausschalten; die Konfiguration zurücksetzen, wodurch alle von der Drohne aufgenommenen Videos und Bilder gelöscht werden; und andere Aktionen ausführen.

Der POC stellt eine Befehlsregistrierung bereit, die es ermöglicht, die verfügbaren Befehle zu testen, ohne den Python-Quellcode zu ändern. Die Befehlsregistrierung, einschließlich des Befehls, des Empfängers, der Authentifizierungsanforderungen und der Beschreibung jedes Befehls, ist in commands.json definiert.

Betroffene Produkte

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Installation

1. POC installieren

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Drohne einschalten

3. POC ausführen

python3 ble_console.py

4. Nach dem Scan die Drone-SSID auswählen

Befehlsreferenz

Die folgenden Befehle sind in commands.json registriert. Der POC unterteilt Befehle in Lese-, Konfigurations-, Funksteuerungs-, Reset-, System- und Parameter-Operationen.

Lesebefehle

Schreibkonfigurationsbefehle

Diese Operationen werden im POC als danger klassifiziert und erfordern daher eine ausdrückliche Bestätigung, bevor sie gesendet werden.

Funksteuerungsbefehle

Reset-Befehle

Der POC markiert beide Operationen als gefährlich, da sie die persistente Konfiguration ändern.

Systembefehle

Parameterbefehle

Der POC bezieht Parameternamen aus flyc_parameters.txt und bietet eine interaktive Parameterauswahl. Um einen bekannten Parameter hinzuzufügen, den Sie ändern oder zurücksetzen möchten, fügen Sie seinen Namen zu flyc_parameters.txt hinzu. Der Parameter ist dann bei Start des POC zur Auswahl verfügbar.

Bestätigungsbildschirm

Als danger klassifizierte Befehle erfordern eine ausdrückliche Bestätigung vor der Übertragung.

Der Bestätigungsbildschirm zeigt Informationen an wie:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Parameter

Die Funktion Change a parameter bietet Zugriff auf die bekannten Konfigurationsparameter, die in flyc_parameters.txt aufgeführt sind.

Reset a parameter verwendet reset_cfg_item, um den ausgewählten Parameter auf seinen Firmware-Standard zurückzusetzen.

Eine vollständige Liste der extrahierten Parameter und weitere Details finden Sie auf der FLYC Parameters Wiki-Seite.

Makros

Der POC stellt außerdem mehrere vordefinierte Makros bereit:

Die Makros sind getrennt von den einzelnen Befehlseinträgen definiert.

Dateien

⚠️ Haftungsausschluss

⚠️ WARNUNG: Dieser Proof of Concept ist ausschließlich für Bildungs-, Sicherheitsforschungs- und autorisierte Penetrationstest-Zwecke bestimmt.

Dieser POC demonstriert Sicherheitsprobleme in der DJI-Bluetooth/DUML-Befehlsschnittstelle. Einige Befehle können die Gerätekonfiguration ändern, Funk-Schnittstellen deaktivieren, die Konnektivität unterbrechen, das Fluggerät neu starten oder ausschalten, die Konfiguration zurücksetzen oder gespeicherte Daten löschen.

⚠️ Verwenden Sie diesen POC NICHT gegen Fluggeräte, Geräte, Netzwerke oder Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben.

Einige Befehle können Datenverlust, Konfigurationsänderungen, Konnektivitätsverlust, Gerätestörungen oder andere unbeabsichtigte Folgen verursachen. Tests sollten nur in einer kontrollierten Umgebung durchgeführt werden, in der das Fluggerät sowie umstehende Personen und Sachen nicht gefährdet sind.

Die Autoren sind nicht verantwortlich für Schäden, Datenverlust, Dienstunterbrechungen, den Betrieb des Fluggeräts oder andere Folgen, die sich aus der Verwendung oder dem Missbrauch dieses POC ergeben.

⚠️ Durch die Verwendung dieses POC übernehmen Sie die Verantwortung dafür, sicherzustellen, dass Ihre Tests autorisiert sind und alle geltenden Gesetze, Vorschriften und Anforderungen an die verantwortungsvolle Offenlegung eingehalten werden.