CVE-2026-78306 — DJI DUML Command Injection over Bluetooth POC

Descrizione

I droni DJI espongono un'interfaccia Bluetooth utilizzata per stabilire una connessione all'interfaccia Wi-Fi del drone e scambiare le credenziali Wi-Fi.

L'interfaccia Bluetooth verifica l'UUID attendibile del dispositivo per tre comandi:

• Get SSID
• Get PSK
• Get MAC address

I comandi rimanenti non richiedono lo stesso controllo di autenticazione. Di conseguenza, un attaccante remoto nel raggio d'azione del Bluetooth potrebbe essere in grado di inviare comandi DUML non autorizzati al drone.

A seconda del comando, un attaccante potrebbe essere in grado di modificare la configurazione del drone, inclusa la modifica della password Wi-Fi e potenzialmente ottenere l'accesso alla rete interna del drone, abilitare o disabilitare le interfacce radio, riavviare o spegnere l'aeromobile, ripristinare la configurazione ed eseguire altre azioni.

Il POC fornisce un registro dei comandi che consente di testare i comandi disponibili senza modificare il codice sorgente Python. Il registro dei comandi, inclusi il comando, il ricevitore, i requisiti di autenticazione e la descrizione di ciascun comando, è definito in commands.json.

Prodotti interessati

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Installazione

1. Installare il POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Accendere il drone

3. Eseguire il POC

python3 ble_console.py

4. Dopo la scansione selezionare l'SSID del drone

Riferimento dei comandi

I seguenti comandi sono registrati in commands.json. Il POC separa i comandi in operazioni di lettura, configurazione, controllo radio, reset, sistema e parametri.

Comandi di lettura

Comandi di scrittura della configurazione

Queste operazioni sono classificate come danger nel POC e richiedono quindi una conferma esplicita prima di essere inviate.

Comandi di controllo radio

I comandi di controllo radio sono implementati tramite i corrispondenti handler dji_network.

Comandi di reset

Il POC contrassegna entrambe le operazioni come pericolose perché modificano la configurazione persistente.

Comandi di sistema

Comandi sui parametri

Il POC ottiene i nomi dei parametri da flyc_parameters.txt e fornisce una selezione interattiva dei parametri. Per aggiungere un parametro noto che si desidera modificare o ripristinare, aggiungere il suo nome a flyc_parameters.txt. Il parametro sarà quindi disponibile per la selezione all'avvio del POC.

Aggiungere un comando: modificare commands.json, non il codice

Il menu viene generato da commands.json all'avvio. Per aggiungere un comando, aggiungere un nuovo oggetto alla lista commands di una sezione. Il comando apparirà la prossima volta che il POC viene avviato.

Esempio:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

Campi dei comandi

Il ricevitore predefinito è 0x07 (network:0) e il mittente predefinito è 0x02 (mobile:0).

Builder dei payload

I builder interattivi dei payload sono definiti in payload_builders.py.

I builder disponibili includono:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

Per aggiungere un nuovo builder, implementare la funzione, registrarla in BUILDERS e fare riferimento al suo nome da commands.json.

Schermata di conferma

I comandi classificati come danger richiedono una conferma esplicita prima della trasmissione.

La schermata di conferma visualizza informazioni quali:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Le informazioni DOES sono tratte dal campo note del comando, mentre gli avvisi aggiuntivi sono tratti dal campo warn in commands.json.

Parametri

La funzione Change a parameter fornisce l'accesso ai parametri di configurazione noti elencati in flyc_parameters.txt.

Un parametro può essere selezionato per nome, fornito con un valore, convertito nella larghezza little-endian selezionata e inviato utilizzando set_cfg_item (0x03/0xf9).

Reset a parameter utilizza reset_cfg_item (0x03/0xfa) per ripristinare il parametro selezionato al valore predefinito del firmware.

Macro

Il POC fornisce inoltre diverse macro predefinite:

Le macro sono definite separatamente dalle singole voci dei comandi.

File

⚠️ Disclaimer

⚠️ AVVISO: Questo proof of concept è destinato esclusivamente a scopi educativi, di ricerca sulla sicurezza e di penetration testing autorizzato.

Questo POC dimostra problemi di sicurezza nell'interfaccia di gestione dei comandi Bluetooth/DUML di DJI. Alcuni comandi possono modificare la configurazione del dispositivo, disabilitare le interfacce radio, interrompere la connettività, riavviare o spegnere l'aeromobile, ripristinare la configurazione o eliminare i dati memorizzati.

⚠️ NON utilizzare questo POC contro qualsiasi aeromobile, dispositivo, rete o sistema di cui non si è proprietari o per cui non si dispone di esplicita autorizzazione al test.

Alcuni comandi possono causare perdita di dati, modifiche alla configurazione, perdita di connettività, interruzione del dispositivo o altre conseguenze indesiderate. I test devono essere eseguiti solo in un ambiente controllato in cui l'aeromobile, le persone e le proprietà circostanti non siano a rischio.

Gli autori non sono responsabili per eventuali danni, perdita di dati, interruzione del servizio, funzionamento dell'aeromobile o altre conseguenze derivanti dall'uso o dall'abuso di questo POC.

⚠️ Utilizzando questo POC, si accetta la responsabilità di garantire che i propri test siano autorizzati e conformi a tutte le leggi, i regolamenti e i requisiti di divulgazione responsabile applicabili.