CVE-2026-78306 — DJI DUML Command Injection über Bluetooth POC

Beschreibung

DJI-Drohnen stellen eine Bluetooth-Schnittstelle bereit, die verwendet wird, um eine Verbindung zur Wi-Fi-Schnittstelle der Drohne herzustellen und Wi-Fi-Anmeldedaten auszutauschen.

Die Bluetooth-Schnittstelle prüft die vertrauenswürdige UUID des Geräts für drei Befehle:

• Get SSID
• Get PSK
• Get MAC address

Die übrigen Befehle erfordern nicht dieselbe Authentifizierungsprüfung. Infolgedessen könnte ein Angreifer in Bluetooth-Reichweite unbefugte DUML-Befehle an die Drohne senden.

Je nach Befehl könnte ein Angreifer die Konfiguration der Drohne ändern, einschließlich des Änderns des Wi-Fi-Passworts und möglicherweise des Zugriffs auf das interne Netzwerk der Drohne, des Aktivierens oder Deaktivierens von Funkschnittstellen, des Neustartens oder Ausschaltens des Fluggeräts, des Zurücksetzens der Konfiguration und anderer Aktionen.

Der POC stellt eine Befehlsregistrierung bereit, mit der die verfügbaren Befehle getestet werden können, ohne den Python-Quellcode zu ändern. Die Befehlsregistrierung, einschließlich des Befehls, des Empfängers, der Authentifizierungsanforderungen und der Beschreibung jedes Befehls, ist in commands.json definiert.

Betroffene Produkte

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Installation

1. POC installieren

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Drohne einschalten

3. POC ausführen

python3 ble_console.py

4. Nach dem Scan die Drone SSID auswählen

Befehlsreferenz

Die folgenden Befehle sind in commands.json registriert. Der POC unterteilt Befehle in Lese-, Konfigurations-, Funksteuerungs-, Reset-, System- und Parameteroperationen.

Lesebefehle

Schreibkonfigurationsbefehle

Diese Operationen sind im POC als danger klassifiziert und erfordern daher eine ausdrückliche Bestätigung, bevor sie gesendet werden.

Funksteuerungsbefehle

Die Funksteuerungsbefehle sind über die entsprechenden dji_network-Handler implementiert.

Reset-Befehle

Der POC markiert beide Operationen als gefährlich, da sie die persistente Konfiguration ändern.

Systembefehle

Parameterbefehle

Der POC bezieht Parameternamen aus flyc_parameters.txt und bietet eine interaktive Parameterauswahl. Um einen bekannten Parameter hinzuzufügen, den Sie ändern oder zurücksetzen möchten, fügen Sie seinen Namen zu flyc_parameters.txt hinzu. Der Parameter ist dann bei Start des POC zur Auswahl verfügbar.

Hinzufügen eines Befehls: commands.json bearbeiten, nicht den Code

Das Menü wird beim Start aus commands.json generiert. Um einen Befehl hinzuzufügen, fügen Sie ein neues Objekt zur commands-Liste eines Abschnitts hinzu. Der Befehl erscheint beim nächsten Start des POC.

Beispiel:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

Befehlsfelder

Der Standardempfänger ist 0x07 (network:0) und der Standardsender ist 0x02 (mobile:0).

Payload-Builder

Interaktive Payload-Builder sind in payload_builders.py definiert.

Verfügbare Builder sind unter anderem:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

Um einen neuen Builder hinzuzufügen, implementieren Sie die Funktion, registrieren Sie sie in BUILDERS und referenzieren Sie ihren Namen aus commands.json.

Bestätigungsbildschirm

Als danger klassifizierte Befehle erfordern eine ausdrückliche Bestätigung vor der Übertragung.

Der Bestätigungsbildschirm zeigt Informationen an wie:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Die DOES-Informationen stammen aus dem note-Feld des Befehls, während zusätzliche Warnungen aus dem warn-Feld in commands.json stammen.

Parameter

Die Funktion Change a parameter bietet Zugriff auf die bekannten Konfigurationsparameter, die in flyc_parameters.txt aufgeführt sind.

Ein Parameter kann nach Namen ausgewählt, mit einem Wert versehen, in die ausgewählte Little-Endian-Breite konvertiert und mit set_cfg_item (0x03/0xf9) gesendet werden.

Reset a parameter verwendet reset_cfg_item (0x03/0xfa), um den ausgewählten Parameter auf seinen Firmware-Standard zurückzusetzen.

Makros

Der POC stellt außerdem mehrere vordefinierte Makros bereit:

Die Makros sind getrennt von den einzelnen Befehlseinträgen definiert.

Dateien

⚠️ Haftungsausschluss

⚠️ WARNUNG: Dieser Proof of Concept ist ausschließlich für Bildungs-, Sicherheitsforschungs- und autorisierte Penetrationstest-Zwecke bestimmt.

Dieser POC demonstriert Sicherheitsprobleme in der DJI-Bluetooth/DUML-Befehlsschnittstelle. Einige Befehle können die Gerätekonfiguration ändern, Funkschnittstellen deaktivieren, die Konnektivität unterbrechen, das Fluggerät neu starten oder ausschalten, die Konfiguration zurücksetzen oder gespeicherte Daten löschen.

⚠️ Verwenden Sie diesen POC NICHT gegen Fluggeräte, Geräte, Netzwerke oder Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben.

Einige Befehle können Datenverlust, Konfigurationsänderungen, Konnektivitätsverlust, Gerätestörungen oder andere unbeabsichtigte Folgen verursachen. Tests sollten nur in einer kontrollierten Umgebung durchgeführt werden, in der das Fluggerät sowie umstehende Personen und Sachen nicht gefährdet sind.

Die Autoren sind nicht verantwortlich für Schäden, Datenverlust, Dienstunterbrechungen, den Betrieb des Fluggeräts oder andere Folgen, die aus der Verwendung oder dem Missbrauch dieses POC resultieren.

⚠️ Durch die Verwendung dieses POC übernehmen Sie die Verantwortung dafür, sicherzustellen, dass Ihre Tests autorisiert sind und alle geltenden Gesetze, Vorschriften und Anforderungen zur verantwortungsvollen Offenlegung eingehalten werden.