CVE-2026-78306 — Injection de commande DUML sur drone DJI via Bluetooth POC

Enregistrement CVE : https://www.cve.org/CVERecord?id=CVE-2026-78306

NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-78306

Description

Les drones DJI exposent une interface Bluetooth utilisée pour établir une connexion à l'interface Wi-Fi du drone et échanger les identifiants Wi-Fi.

L'interface Bluetooth vérifie l'UUID de confiance de l'appareil pour trois commandes :

• Get SSID
• Get PSK
• Get MAC address

Les autres commandes ne nécessitent pas la même vérification d'authentification. Par conséquent, un attaquant distant à portée Bluetooth peut être en mesure d'envoyer des commandes DUML non autorisées au drone.

Selon la commande, un attaquant peut être en mesure de modifier la configuration du drone, notamment en changeant le mot de passe Wi-Fi et en obtenant potentiellement l'accès au réseau interne du drone ; en activant ou désactivant les interfaces radio ; en redémarrant ou éteignant l'aéronef ; en réinitialisant la configuration, ce qui efface toutes les vidéos et photos capturées par le drone ; et en effectuant d'autres actions.

Le POC fournit un registre de commandes qui permet de tester les commandes disponibles sans modifier le code source Python. Le registre de commandes, incluant la commande, le récepteur, les exigences d'authentification et la description de chaque commande, est défini dans commands.json.

Produits affectés

DÉMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Installation

1. Installer le POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Allumer le drone

3. Exécuter le POC

python3 ble_console.py

4. Après le scan, sélectionner le SSID du drone

Référence des commandes

Les commandes suivantes sont enregistrées dans commands.json. Le POC sépare les commandes en opérations de lecture, de configuration, de contrôle radio, de réinitialisation, système et de paramètres.

Commandes de lecture

Commandes d'écriture de configuration

Ces opérations sont classées comme danger dans le POC et nécessitent donc une confirmation explicite avant d'être envoyées.

Commandes de contrôle radio

Commandes de réinitialisation

Le POC marque les deux opérations comme dangereuses car elles modifient la configuration persistante.

Commandes système

Commandes de paramètres

Le POC obtient les noms de paramètres depuis flyc_parameters.txt et fournit une sélection interactive des paramètres. Pour ajouter un paramètre connu que vous souhaitez modifier ou réinitialiser, ajoutez son nom à flyc_parameters.txt. Le paramètre sera alors disponible pour sélection au démarrage du POC.

Écran de confirmation

Les commandes classées comme danger nécessitent une confirmation explicite avant transmission.

L'écran de confirmation affiche des informations telles que :

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Paramètres

La fonction Change a parameter donne accès aux paramètres de configuration connus listés dans flyc_parameters.txt.

Reset a parameter utilise reset_cfg_item pour restaurer le paramètre sélectionné à sa valeur par défaut du firmware.

Pour une liste complète des paramètres extraits et plus de détails, consultez la page wiki FLYC Parameters.

Macros

Le POC fournit également plusieurs macros prédéfinies :

Les macros sont définies séparément des entrées de commandes individuelles.

Fichiers

⚠️ Avertissement

⚠️ ATTENTION : Cette preuve de concept est destinée strictement à des fins éducatives, de recherche en sécurité et de tests d'intrusion autorisés.

Ce POC démontre des problèmes de sécurité dans l'interface de gestion des commandes Bluetooth/DUML de DJI. Certaines commandes peuvent modifier la configuration de l'appareil, désactiver les interfaces radio, interrompre la connectivité, redémarrer ou éteindre l'aéronef, réinitialiser la configuration ou supprimer des données stockées.

⚠️ N'utilisez PAS ce POC contre tout aéronef, appareil, réseau ou système que vous ne possédez pas ou pour lequel vous ne disposez pas d'une autorisation explicite de test.

Certaines commandes peuvent entraîner une perte de données, des modifications de configuration, une perte de connectivité, une perturbation de l'appareil ou d'autres conséquences imprévues. Les tests ne doivent être effectués que dans un environnement contrôlé où l'aéronef ainsi que les personnes et biens environnants ne sont pas exposés à un risque.

Les auteurs ne sont pas responsables des dommages, pertes de données, interruptions de service, opérations de l'aéronef ou autres conséquences résultant de l'utilisation ou de l'utilisation abusive de ce POC.

⚠️ En utilisant ce POC, vous acceptez la responsabilité de vous assurer que vos tests sont autorisés et conformes à toutes les lois, réglementations et exigences de divulgation responsable applicables.