CVE-2026-77812

요약

DJI 드론은 BLE(Bluetooth Low Energy)를 통해 DUML(DJI Universal Markup Language) 프로토콜 메시지를 암호화 없이 전송합니다. 클라이언트가 Wi-Fi를 통해 드론에 연결을 시도하거나 드론이 QuickTransfer 모드로 전환되면, DJI Fly 애플리케이션은 Wi-Fi 자격 증명을 포함한 DUML 메시지를 BLE를 통해 드론과 교환합니다. BLE 범위 내에 있는 공격자는 이 트래픽을 수동적으로 스니핑하여 드론의 Wi-Fi PSK, SSID, 신뢰할 수 있는 식별자 UUID를 포함한 자격 증명을 평문으로 복구할 수 있습니다. 이러한 자격 증명을 획득하면 공격자는 드론의 내부 Wi-Fi 네트워크에 접속하고, 드론이 노출하는 네트워크 서비스와 상호 작용하며, 드론과 정당한 사용자 사이에 교환되는 Wi-Fi 트래픽을 복호화할 수 있습니다. * BLE 범위 내의 공격자는 Wi-Fi SSID와 PSK를 평문으로 복구한 후 드론의 네트워크에 접속할 수 있습니다 * 동일한 캡처는 세션 UUID 식별자도 노출하는데, 이는 드론이 신뢰할 수 있는 클라이언트와 알 수 없는 클라이언트를 구별하는 유일한 수단이므로 공격자는 이를 재생하여 새로 연결된 장치에 대한 물리적 확인을 건너뛸 수 있습니다. * 운영자가 Wi-Fi 설정을 수동으로 재설정하지 않는 한 자격 증명은 세션 간에 변경되지 않으므로 한 번의 캡처로 무기한 유효합니다 * 이 공격은 완전히 수동적이며 아무것도 전송하지 않고 연결도 설정하지 않으므로 운영자나 드론 모두 세션이 관찰되었다는 어떠한 징후도 알 수 없습니다 * BLE 스니퍼와 한 번의 정상적인 DJI Fly 연결 시 현장에 있어야 합니다 영향을 받는 모델은 DJI Neo는 01.00.0400까지, DJI Neo 2는 01.00.0500까지, DJI Flip은 01.00.1200까지, DJI Air 3는 01.00.1600까지, DJI Air 3S는 01.00.1400까지, DJI Avata 2는 01.00.0400까지, DJI Avata 360은 01.00.0300까지, DJI Mavic 3는 01.00.1400까지, DJI Mavic 3 Classic은 01.00.0800까지, DJI Mavic 3 Pro는 01.01.0700까지, DJI Mavic 4 Pro는 01.00.0500까지, DJI Mini 2는 01.07.0200까지, DJI Mini 3는 01.00.0500까지, DJI Mini 3 Pro는 01.00.0900까지, DJI Mini 4 Pro는 01.00.1100까지, DJI Mini 5 Pro는 01.00.0600까지입니다. 해결을 위해서는 벤더의 펌웨어 업데이트가 필요합니다. 업그레이드 없이 취약점을 완전히 해결하는 사용자 측 완화 방법은 없습니다.

소스

• CVE-2026-77812PoC

  DJI 드론에서 평문 BLE DUML 트래픽을 수동적으로 스니핑하여 Wi-Fi PSK와 신뢰할 수 있는 세션 UUID를 복구하는 개념 증명으로, CVE-2026-77812를 시연합니다.