CVE-2026-78306 — Injection de commandes DUML DJI via Bluetooth POC

Description

Les drones DJI exposent une interface Bluetooth utilisée pour établir une connexion à l'interface Wi-Fi du drone et échanger les identifiants Wi-Fi.

L'interface Bluetooth vérifie l'UUID de confiance de l'appareil pour trois commandes :

• Get SSID
• Get PSK
• Get MAC address

Les commandes restantes ne nécessitent pas la même vérification d'authentification. Par conséquent, un attaquant distant à portée Bluetooth peut être en mesure d'envoyer des commandes DUML non autorisées au drone.

Selon la commande, un attaquant peut être en mesure de modifier la configuration du drone, notamment en changeant le mot de passe Wi-Fi et en accédant potentiellement au réseau interne du drone, en activant ou désactivant les interfaces radio, en redémarrant ou éteignant l'aéronef, en réinitialisant la configuration et en effectuant d'autres actions.

Le POC fournit un registre de commandes qui permet de tester les commandes disponibles sans modifier le code source Python. Le registre de commandes, incluant la commande, le récepteur, les exigences d'authentification et la description de chaque commande, est défini dans commands.json.

Produits affectés

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Installation

1. Installer le POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Allumer le drone

3. Exécuter le POC

python3 ble_console.py

4. Après le scan, sélectionner le SSID du drone

Référence des commandes

Les commandes suivantes sont enregistrées dans commands.json. Le POC sépare les commandes en opérations de lecture, de configuration, de contrôle radio, de réinitialisation, système et de paramètres.

Commandes de lecture

Commandes d'écriture de configuration

Ces opérations sont classées comme danger dans le POC et nécessitent donc une confirmation explicite avant d'être envoyées.

Commandes de contrôle radio

Les commandes de contrôle radio sont implémentées via les gestionnaires dji_network correspondants.

Commandes de réinitialisation

Le POC marque les deux opérations comme dangereuses car elles modifient la configuration persistante.

Commandes système

Commandes de paramètres

Le POC obtient les noms de paramètres depuis flyc_parameters.txt et fournit une sélection interactive des paramètres. Pour ajouter un paramètre connu que vous souhaitez modifier ou réinitialiser, ajoutez son nom à flyc_parameters.txt. Le paramètre sera alors disponible pour sélection au démarrage du POC.

Ajouter une commande : modifier commands.json, pas le code

Le menu est généré à partir de commands.json au démarrage. Pour ajouter une commande, ajoutez un nouvel objet à la liste commands d'une section. La commande apparaîtra au prochain démarrage du POC.

Exemple :

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

Champs de commande

Le récepteur par défaut est 0x07 (network:0) et l'expéditeur par défaut est 0x02 (mobile:0).

Générateurs de charge utile

Les générateurs de charge utile interactifs sont définis dans payload_builders.py.

Les générateurs disponibles incluent :

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

Pour ajouter un nouveau générateur, implémentez la fonction, enregistrez-la dans BUILDERS et référencez son nom depuis commands.json.

Écran de confirmation

Les commandes classées comme danger nécessitent une confirmation explicite avant transmission.

L'écran de confirmation affiche des informations telles que :

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Les informations DOES proviennent du champ note de la commande, tandis que les avertissements supplémentaires proviennent du champ warn dans commands.json.

Paramètres

La fonction Change a parameter donne accès aux paramètres de configuration connus listés dans flyc_parameters.txt.

Un paramètre peut être sélectionné par nom, fourni avec une valeur, converti vers la largeur little-endian sélectionnée, puis envoyé à l'aide de set_cfg_item (0x03/0xf9).

Reset a parameter utilise reset_cfg_item (0x03/0xfa) pour restaurer le paramètre sélectionné à sa valeur d'usine.

Macros

Le POC fournit également plusieurs macros prédéfinies :

Les macros sont définies séparément des entrées de commande individuelles.

Fichiers

⚠️ Avertissement

⚠️ ATTENTION : Cette preuve de concept est strictement destinée à des fins éducatives, de recherche en sécurité et de tests d'intrusion autorisés.

Ce POC démontre des problèmes de sécurité dans l'interface de gestion des commandes Bluetooth/DUML de DJI. Certaines commandes peuvent modifier la configuration de l'appareil, désactiver les interfaces radio, interrompre la connectivité, redémarrer ou éteindre l'aéronef, réinitialiser la configuration ou supprimer des données stockées.

⚠️ N'utilisez PAS ce POC contre tout aéronef, appareil, réseau ou système que vous ne possédez pas ou pour lequel vous ne disposez pas d'une autorisation explicite de test.

Certaines commandes peuvent entraîner une perte de données, des modifications de configuration, une perte de connectivité, une perturbation de l'appareil ou d'autres conséquences imprévues. Les tests ne doivent être effectués que dans un environnement contrôlé où l'aéronef ainsi que les personnes et biens environnants ne sont pas exposés à un risque.

Les auteurs ne sont pas responsables des dommages, pertes de données, interruptions de service, exploitation de l'aéronef ou autres conséquences résultant de l'utilisation ou de l'usage abusif de ce POC.

⚠️ En utilisant ce POC, vous acceptez la responsabilité de vous assurer que vos tests sont autorisés et conformes à toutes les lois, réglementations et exigences de divulgation responsable applicables.