CVE-2026-78306 — POC di Command Injection DUML su drone DJI via Bluetooth

Record CVE: https://www.cve.org/CVERecord?id=CVE-2026-78306

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-78306

Descrizione

I droni DJI espongono un'interfaccia Bluetooth utilizzata per stabilire una connessione all'interfaccia Wi-Fi del drone e scambiare le credenziali Wi-Fi.

L'interfaccia Bluetooth verifica l'UUID attendibile del dispositivo per tre comandi:

• Get SSID
• Get PSK
• Get MAC address

I comandi rimanenti non richiedono lo stesso controllo di autenticazione. Di conseguenza, un attaccante remoto nel raggio d'azione del Bluetooth potrebbe essere in grado di inviare comandi DUML non autorizzati al drone.

A seconda del comando, un attaccante potrebbe essere in grado di modificare la configurazione del drone, incluso il cambio della password Wi-Fi e potenzialmente ottenere l'accesso alla rete interna del drone; abilitare o disabilitare le interfacce radio; riavviare o spegnere il velivolo; ripristinare la configurazione, che cancella tutti i video e le foto catturate dal drone; ed eseguire altre azioni.

Il POC fornisce un registro dei comandi che consente di testare i comandi disponibili senza modificare il codice sorgente Python. Il registro dei comandi, inclusi il comando, il ricevitore, i requisiti di autenticazione e la descrizione di ciascun comando, è definito in commands.json.

Prodotti interessati

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Installazione

1. Installare il POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Accendere il drone

3. Eseguire il POC

python3 ble_console.py

4. Dopo la scansione selezionare l'SSID del drone

Riferimento dei comandi

I seguenti comandi sono registrati in commands.json. Il POC separa i comandi in operazioni di lettura, configurazione, controllo radio, reset, sistema e parametri.

Comandi di lettura

Comandi di scrittura della configurazione

Queste operazioni sono classificate come danger nel POC e richiedono quindi una conferma esplicita prima di essere inviate.

Comandi di controllo radio

Comandi di reset

Il POC contrassegna entrambe le operazioni come pericolose perché modificano la configurazione persistente.

Comandi di sistema

Comandi sui parametri

Il POC ottiene i nomi dei parametri da flyc_parameters.txt e fornisce una selezione interattiva dei parametri. Per aggiungere un parametro noto che si desidera modificare o ripristinare, aggiungere il suo nome a flyc_parameters.txt. Il parametro sarà quindi disponibile per la selezione all'avvio del POC.

Schermata di conferma

I comandi classificati come danger richiedono una conferma esplicita prima della trasmissione.

La schermata di conferma mostra informazioni quali:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Parametri

La funzione Change a parameter fornisce accesso ai parametri di configurazione noti elencati in flyc_parameters.txt.

Reset a parameter utilizza reset_cfg_item per ripristinare il parametro selezionato al valore predefinito del firmware.

Per un elenco completo dei parametri estratti e maggiori dettagli, consultare la pagina wiki FLYC Parameters.

Macro

Il POC fornisce inoltre diverse macro predefinite:

Le macro sono definite separatamente dalle singole voci dei comandi.

File

⚠️ Disclaimer

⚠️ AVVERTENZA: Questo proof of concept è destinato esclusivamente a scopi educativi, di ricerca sulla sicurezza e di penetration testing autorizzato.

Questo POC dimostra problemi di sicurezza nell'interfaccia di gestione dei comandi Bluetooth/DUML dei droni DJI. Alcuni comandi possono modificare la configurazione del dispositivo, disabilitare le interfacce radio, interrompere la connettività, riavviare o spegnere il velivolo, ripristinare la configurazione o eliminare i dati memorizzati.

⚠️ NON utilizzare questo POC contro qualsiasi velivolo, dispositivo, rete o sistema di cui non si è proprietari o per cui non si dispone di esplicita autorizzazione al test.

Alcuni comandi possono causare perdita di dati, modifiche alla configurazione, perdita di connettività, interruzione del dispositivo o altre conseguenze indesiderate. I test devono essere eseguiti solo in un ambiente controllato in cui il velivolo, le persone e le proprietà circostanti non siano a rischio.

Gli autori non sono responsabili per eventuali danni, perdita di dati, interruzione del servizio, funzionamento del velivolo o altre conseguenze derivanti dall'uso o dall'abuso di questo POC.

⚠️ Utilizzando questo POC, si accetta la responsabilità di garantire che i propri test siano autorizzati e conformi a tutte le leggi, i regolamenti e i requisiti di divulgazione responsabile applicabili.