CVE-2026-78306 — DJI Drone DUML Command Injection over Bluetooth POC

CVE record: https://www.cve.org/CVERecord?id=CVE-2026-78306

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-78306

説明

DJIドローンは、ドローンのWi-Fiインターフェースへの接続を確立し、Wi-Fi認証情報を交換するために使用されるBluetoothインターフェースを公開しています。

Bluetoothインターフェースは、デバイスの信頼済みUUIDを次の3つのコマンドに対してチェックします:

• Get SSID
• Get PSK
• Get MAC address

残りのコマンドには同じ認証チェックが要求されません。その結果、Bluetooth範囲内にいるリモート攻撃者が、ドローンに対して不正なDUMLコマンドを送信できる可能性があります。

コマンドによっては、攻撃者がドローンの設定を変更できる可能性があります。これにはWi-Fiパスワードの変更や、ドローンの内部ネットワークへのアクセス取得の可能性、無線インターフェースの有効化または無効化、機体の再起動または電源オフ、設定のリセット(ドローンで撮影されたすべての動画と写真が消去されます)、その他の操作が含まれます。

このPOCは、Pythonソースコードを変更することなく利用可能なコマンドをテストできるコマンドレジストリを提供します。コマンド、レシーバー、認証要件、および各コマンドの説明を含むコマンドレジストリは、commands.jsonで定義されています。

影響を受ける製品

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

インストール

1. POCのインストール

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. ドローンの電源を入れる

3. POCの実行

python3 ble_console.py

4. スキャン後、ドローンのSSIDを選択する

コマンドリファレンス

以下のコマンドはcommands.jsonに登録されています。このPOCはコマンドを読み取り、設定、無線制御、リセット、システム、およびパラメータ操作に分類します。

読み取りコマンド

書き込み設定コマンド

これらの操作はPOCではdangerに分類されるため、送信前に明示的な確認が必要です。

無線制御コマンド

リセットコマンド

POCは、これらの操作が永続的な設定を変更するため、両方とも危険であるとマークしています。

システムコマンド

パラメータコマンド

POCはflyc_parameters.txtからパラメータ名を取得し、対話的なパラメータ選択を提供します。変更またはリセットしたい既知のパラメータを追加するには、その名前をflyc_parameters.txtに追加します。その後、POCの起動時にそのパラメータを選択できるようになります。

確認画面

dangerに分類されたコマンドは、送信前に明示的な確認が必要です。

確認画面には、次のような情報が表示されます:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

パラメータ

Change a parameter機能は、flyc_parameters.txtにリストされている既知の設定パラメータへのアクセスを提供します。

Reset a parameterはreset_cfg_itemを使用して、選択したパラメータをファームウェアのデフォルトに復元します。

抽出されたパラメータの完全なリストと詳細については、FLYC Parameters wiki pageを参照してください。

マクロ

POCはいくつかの定義済みマクロも提供します:

マクロは個々のコマンドエントリとは別に定義されています。

ファイル

⚠️ 免責事項

⚠️ 警告: この概念実証は、教育、セキュリティ研究、および許可されたペネトレーションテストの目的に厳密に限定して使用されることを意図しています。

このPOCは、DJIのBluetooth/DUMLコマンド処理インターフェースにおけるセキュリティ問題を実証します。一部のコマンドは、デバイス設定の変更、無線インターフェースの無効化、接続の中断、機体の再起動または電源オフ、設定のリセット、または保存データの削除を行う可能性があります。

⚠️ 自身が所有していない、またはテストする明示的な許可を持っていない航空機、デバイス、ネットワーク、またはシステムに対して、このPOCを使用しないでください。

一部のコマンドは、データ損失、設定変更、接続の喪失、デバイスの混乱、またはその他の意図しない結果を引き起こす可能性があります。テストは、航空機および周囲の人や財産が危険にさらされない制御された環境でのみ実施してください。

著者は、このPOCの使用または誤用に起因するいかなる損害、データ損失、サービス中断、航空機の運用、またはその他の結果についても責任を負いません。

⚠️ このPOCを使用することにより、あなたは自身のテストが許可されており、適用されるすべての法律、規制、および責任ある開示要件に準拠していることを保証する責任を負うことに同意するものとします。