CVE-2026-78306 — Inyección de comandos DUML en drones DJI a través de Bluetooth POC

Registro CVE: https://www.cve.org/CVERecord?id=CVE-2026-78306

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-78306

Descripción

Los drones DJI exponen una interfaz Bluetooth utilizada para establecer una conexión con la interfaz Wi-Fi del dron e intercambiar credenciales Wi-Fi.

La interfaz Bluetooth verifica el UUID de confianza del dispositivo para tres comandos:

• Obtener SSID
• Obtener PSK
• Obtener dirección MAC

El resto de comandos no requieren la misma verificación de autenticación. Como resultado, un atacante remoto dentro del alcance Bluetooth podría enviar comandos DUML no autorizados al dron.

Dependiendo del comando, un atacante podría modificar la configuración del dron, incluyendo cambiar la contraseña Wi-Fi y potencialmente obtener acceso a la red interna del dron; habilitar o deshabilitar interfaces de radio; reiniciar o apagar la aeronave; restablecer la configuración, lo que borra todos los vídeos e imágenes capturados por el dron; y realizar otras acciones.

El POC proporciona un registro de comandos que permite probar los comandos disponibles sin modificar el código fuente de Python. El registro de comandos, incluyendo el comando, el receptor, los requisitos de autenticación y la descripción de cada comando, se define en commands.json.

Productos afectados

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Instalación

1. Instalar el POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Encender el dron

3. Ejecutar el POC

python3 ble_console.py

4. Tras el escaneo, seleccionar el SSID del dron

Referencia de comandos

Los siguientes comandos están registrados en commands.json. El POC separa los comandos en operaciones de lectura, configuración, control de radio, restablecimiento, sistema y parámetros.

Comandos de lectura

Comandos de escritura de configuración

Estas operaciones se clasifican como danger en el POC y, por lo tanto, requieren confirmación explícita antes de ser enviadas.

Comandos de control de radio

Comandos de restablecimiento

El POC marca ambas operaciones como peligrosas porque modifican la configuración persistente.

Comandos de sistema

Comandos de parámetros

El POC obtiene los nombres de los parámetros de flyc_parameters.txt y proporciona una selección interactiva de parámetros. Para añadir un parámetro conocido que desee modificar o restablecer, añada su nombre a flyc_parameters.txt. El parámetro estará entonces disponible para su selección cuando se inicie el POC.

Pantalla de confirmación

Los comandos clasificados como danger requieren confirmación explícita antes de su transmisión.

La pantalla de confirmación muestra información como:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Parámetros

La función Change a parameter proporciona acceso a los parámetros de configuración conocidos listados en flyc_parameters.txt.

Reset a parameter utiliza reset_cfg_item para restaurar el parámetro seleccionado a su valor predeterminado de firmware.

Para obtener una lista completa de los parámetros extraídos y más detalles, consulte la página wiki de parámetros FLYC.

Macros

El POC también proporciona varias macros predefinidas:

Las macros se definen por separado de las entradas de comandos individuales.

Archivos

⚠️ Descargo de responsabilidad

⚠️ ADVERTENCIA: Esta prueba de concepto está destinada estrictamente a fines educativos, de investigación de seguridad y de pruebas de penetración autorizadas.

Este POC demuestra problemas de seguridad en la interfaz de manejo de comandos Bluetooth/DUML de DJI. Algunos comandos pueden modificar la configuración del dispositivo, deshabilitar interfaces de radio, interrumpir la conectividad, reiniciar o apagar la aeronave, restablecer la configuración o eliminar datos almacenados.

⚠️ NO utilice este POC contra ninguna aeronave, dispositivo, red o sistema que no sea de su propiedad o para el que no tenga autorización explícita de prueba.

Algunos comandos pueden causar pérdida de datos, cambios de configuración, pérdida de conectividad, interrupción del dispositivo u otras consecuencias no deseadas. Las pruebas solo deben realizarse en un entorno controlado donde la aeronave y las personas y propiedades circundantes no estén en riesgo.

Los autores no son responsables de ningún daño, pérdida de datos, interrupción del servicio, operación de la aeronave u otras consecuencias derivadas del uso o mal uso de este POC.

⚠️ Al utilizar este POC, usted acepta la responsabilidad de asegurar que sus pruebas estén autorizadas y cumplan con todas las leyes, regulaciones y requisitos de divulgación responsable aplicables.