CVE-2026-78306 — Inyección de comandos DUML de DJI a través de Bluetooth POC

Descripción

Los drones DJI exponen una interfaz Bluetooth utilizada para establecer una conexión con la interfaz Wi-Fi del dron e intercambiar credenciales Wi-Fi.

La interfaz Bluetooth verifica el UUID de confianza del dispositivo para tres comandos:

• Obtener SSID
• Obtener PSK
• Obtener dirección MAC

El resto de comandos no requieren la misma verificación de autenticación. Como resultado, un atacante remoto dentro del alcance Bluetooth podría enviar comandos DUML no autorizados al dron.

Dependiendo del comando, un atacante podría modificar la configuración del dron, incluyendo cambiar la contraseña Wi-Fi y potencialmente obtener acceso a la red interna del dron, habilitar o deshabilitar interfaces de radio, reiniciar o apagar la aeronave, restablecer la configuración y realizar otras acciones.

El POC proporciona un registro de comandos que permite probar los comandos disponibles sin modificar el código fuente de Python. El registro de comandos, incluyendo el comando, el receptor, los requisitos de autenticación y la descripción de cada comando, se define en commands.json.

Productos afectados

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Instalación

1. Instalar el POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Encender el dron

3. Ejecutar el POC

python3 ble_console.py

4. Tras el escaneo, seleccionar el SSID del dron

Referencia de comandos

Los siguientes comandos están registrados en commands.json. El POC separa los comandos en operaciones de lectura, configuración, control de radio, restablecimiento, sistema y parámetros.

Comandos de lectura

Comandos de escritura de configuración

Estas operaciones se clasifican como danger en el POC y, por lo tanto, requieren confirmación explícita antes de enviarse.

Comandos de control de radio

Los comandos de control de radio se implementan a través de los manejadores dji_network correspondientes.

Comandos de restablecimiento

El POC marca ambas operaciones como peligrosas porque modifican la configuración persistente.

Comandos de sistema

Comandos de parámetros

El POC obtiene los nombres de los parámetros de flyc_parameters.txt y proporciona una selección interactiva de parámetros. Para añadir un parámetro conocido que desee modificar o restablecer, añada su nombre a flyc_parameters.txt. El parámetro estará entonces disponible para su selección cuando se inicie el POC.

Añadir un comando: editar commands.json, no el código

El menú se genera a partir de commands.json al inicio. Para añadir un comando, añada un nuevo objeto a la lista commands de una sección. El comando aparecerá la próxima vez que se inicie el POC.

Ejemplo:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

Campos de comando

El receptor predeterminado es 0x07 (network:0) y el remitente predeterminado es 0x02 (mobile:0).

Constructores de carga útil

Los constructores interactivos de carga útil se definen en payload_builders.py.

Los constructores disponibles incluyen:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

Para añadir un nuevo constructor, implemente la función, regístrela en BUILDERS y haga referencia a su nombre desde commands.json.

Pantalla de confirmación

Los comandos clasificados como danger requieren confirmación explícita antes de la transmisión.

La pantalla de confirmación muestra información como:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

La información de DOES se toma del campo note del comando, mientras que las advertencias adicionales se toman del campo warn en commands.json.

Parámetros

La función Change a parameter proporciona acceso a los parámetros de configuración conocidos listados en flyc_parameters.txt.

Un parámetro puede seleccionarse por nombre, proporcionarse con un valor, convertirse al ancho little-endian seleccionado y enviarse usando set_cfg_item (0x03/0xf9).

Reset a parameter usa reset_cfg_item (0x03/0xfa) para restaurar el parámetro seleccionado a su valor predeterminado de firmware.

Macros

El POC también proporciona varias macros predefinidas:

Las macros se definen por separado de las entradas de comandos individuales.

Archivos

⚠️ Descargo de responsabilidad

⚠️ ADVERTENCIA: Esta prueba de concepto está destinada estrictamente a fines educativos, de investigación de seguridad y de pruebas de penetración autorizadas.

Este POC demuestra problemas de seguridad en la interfaz de manejo de comandos Bluetooth/DUML de DJI. Algunos comandos pueden modificar la configuración del dispositivo, deshabilitar interfaces de radio, interrumpir la conectividad, reiniciar o apagar la aeronave, restablecer la configuración o eliminar datos almacenados.

⚠️ NO use este POC contra ninguna aeronave, dispositivo, red o sistema que no posea o para el que no tenga autorización explícita de prueba.

Algunos comandos pueden causar pérdida de datos, cambios de configuración, pérdida de conectividad, interrupción del dispositivo u otras consecuencias no deseadas. Las pruebas solo deben realizarse en un entorno controlado donde la aeronave y las personas y propiedades circundantes no estén en riesgo.

Los autores no son responsables de ningún daño, pérdida de datos, interrupción del servicio, operación de la aeronave u otras consecuencias derivadas del uso o mal uso de este POC.

⚠️ Al usar este POC, usted acepta la responsabilidad de asegurar que sus pruebas estén autorizadas y cumplan con todas las leyes, regulaciones y requisitos de divulgación responsable aplicables.