CVE-2026-77812

概要

DJIドローンは、DUML（DJI Universal Markup Language）プロトコルメッセージをBLE（Bluetooth Low Energy）経由で暗号化せずに送信します。クライアントがWi-Fi経由でドローンに接続しようとするとき、またはドローンがQuickTransferモードに切り替えられたとき、DJI FlyアプリケーションはBLE経由でドローンとDUMLメッセージを交換し、そこにはWi-Fi認証情報も含まれます。BLE範囲内にいる攻撃者はこのトラフィックを受動的に傍受し、ドローンのWi-Fi PSK、SSID、信頼済み識別子UUIDを含む認証情報を平文で復元できます。これらの認証情報を入手すると、攻撃者はドローンの内部Wi-Fiネットワークに参加し、ドローンが公開するネットワークサービスと対話し、ドローンと正規ユーザー間で交換されるWi-Fiトラフィックを復号できます。 * BLE範囲内にいる攻撃者はWi-Fi SSIDとPSKを平文で復元し、その後ドローンのネットワークに参加できます * 同じキャプチャはセッションUUID識別子も露出させます。これはドローンが信頼済みクライアントと未知のクライアントを区別するために使用する唯一の情報であるため、攻撃者はそれをリプレイして、新しく接続されたデバイスの物理的な確認をスキップできます。 * 認証情報は、オペレーターが手動でWi-Fi設定をリセットしない限りセッション間で変化しないため、一度のキャプチャが無期限に有効なままとなります * この攻撃は完全に受動的で、何も送信されず、接続も行われないため、オペレーターもドローンもセッションが観測されたことを示す兆候を一切持ちません * BLEスニファーと、通常のDJI Fly接続1回の間の立ち会いが必要です 影響を受けるモデルは、DJI Neoは01.00.0400まで、DJI Neo 2は01.00.0500まで、DJI Flipは01.00.1200まで、DJI Air 3は01.00.1600まで、DJI Air 3Sは01.00.1400まで、DJI Avata 2は01.00.0400まで、DJI Avata 360は01.00.0300まで、DJI Mavic 3は01.00.1400まで、DJI Mavic 3 Classicは01.00.0800まで、DJI Mavic 3 Proは01.01.0700まで、DJI Mavic 4 Proは01.00.0500まで、DJI Mini 2は01.07.0200まで、DJI Mini 3は01.00.0500まで、DJI Mini 3 Proは01.00.0900まで、DJI Mini 4 Proは01.00.1100まで、DJI Mini 5 Proは01.00.0600までです。修復にはベンダーからのファームウェアアップデートが必要です。アップグレードせずにこの脆弱性に完全に対処できるユーザー側の緩和策はありません。

ソース

• CVE-2026-77812PoC

  DJIドローンから平文のBLE DUMLトラフィックを受動的にスニッフィングし、Wi-Fi PSKと信頼されたセッションUUIDを復元する概念実証。CVE-2026-77812を実証する。