CVE-2026-78306 — 블루투스를 통한 DJI DUML 명령 주입 POC

설명

DJI 드론은 드론의 Wi-Fi 인터페이스에 연결을 설정하고 Wi-Fi 자격 증명을 교환하는 데 사용되는 블루투스 인터페이스를 노출합니다.

블루투스 인터페이스는 세 가지 명령에 대해 장치의 신뢰할 수 있는 UUID를 확인합니다:

• SSID 가져오기
• PSK 가져오기
• MAC 주소 가져오기

나머지 명령은 동일한 인증 검사를 요구하지 않습니다. 결과적으로 블루투스 범위 내에 있는 원격 공격자가 드론에 무단 DUML 명령을 전송할 수 있습니다.

명령에 따라 공격자는 Wi-Fi 비밀번호 변경을 포함한 드론의 구성을 수정하고, 잠재적으로 드론의 내부 네트워크에 접근하고, 무선 인터페이스를 활성화 또는 비활성화하고, 항공기를 재시작하거나 전원을 끄고, 구성을 초기화하고, 기타 작업을 수행할 수 있습니다.

POC는 Python 소스 코드를 수정하지 않고 사용 가능한 명령을 테스트할 수 있는 명령 레지스트리를 제공합니다. 명령, 수신자, 인증 요구 사항 및 각 명령에 대한 설명을 포함한 명령 레지스트리는 commands.json에 정의되어 있습니다.

영향을 받는 제품

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

설치

1. POC 설치

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. 드론 전원 켜기

3. POC 실행

python3 ble_console.py

4. 스캔 후 드론 SSID 선택

명령 참조

다음 명령은 commands.json에 등록되어 있습니다. POC는 명령을 읽기, 구성, 무선 제어, 초기화, 시스템 및 매개변수 작업으로 구분합니다.

읽기 명령

쓰기 구성 명령

이러한 작업은 POC에서 danger로 분류되므로 전송 전에 명시적인 확인이 필요합니다.

무선 제어 명령

무선 제어 명령은 해당 dji_network 핸들러를 통해 구현됩니다.

초기화 명령

POC는 두 작업 모두 영구 구성을 수정하므로 위험한 것으로 표시합니다.

시스템 명령

매개변수 명령

POC는 flyc_parameters.txt에서 매개변수 이름을 가져오고 대화형 매개변수 선택을 제공합니다. 수정하거나 초기화하려는 알려진 매개변수를 추가하려면 해당 이름을 flyc_parameters.txt에 추가하십시오. 그러면 POC가 시작될 때 해당 매개변수를 선택할 수 있습니다.

명령 추가: 코드가 아닌 commands.json 편집

메뉴는 시작 시 commands.json에서 생성됩니다. 명령을 추가하려면 섹션의 commands 목록에 새 객체를 추가하십시오. 명령은 다음에 POC가 시작될 때 나타납니다.

예:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

명령 필드

기본 수신자는 0x07(network:0)이고 기본 발신자는 0x02(mobile:0)입니다.

페이로드 빌더

대화형 페이로드 빌더는 payload_builders.py에 정의되어 있습니다.

사용 가능한 빌더는 다음과 같습니다:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

새 빌더를 추가하려면 함수를 구현하고 BUILDERS에 등록한 다음 commands.json에서 해당 이름을 참조하십시오.

확인 화면

danger로 분류된 명령은 전송 전에 명시적인 확인이 필요합니다.

확인 화면에는 다음과 같은 정보가 표시됩니다:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

DOES 정보는 명령의 note에서 가져오고, 추가 경고는 commands.json의 warn 필드에서 가져옵니다.

매개변수

Change a parameter 기능은 flyc_parameters.txt에 나열된 알려진 구성 매개변수에 대한 접근을 제공합니다.

매개변수는 이름으로 선택하고, 값을 제공하고, 선택한 리틀 엔디안 너비로 변환하고, set_cfg_item(0x03/0xf9)을 사용하여 전송할 수 있습니다.

Reset a parameter는 reset_cfg_item(0x03/0xfa)을 사용하여 선택한 매개변수를 펌웨어 기본값으로 복원합니다.

매크로

POC는 또한 몇 가지 미리 정의된 매크로를 제공합니다:

매크로는 개별 명령 항목과 별도로 정의됩니다.

파일

⚠️ 면책 조항

⚠️ 경고: 이 개념 증명은 교육, 보안 연구 및 승인된 침투 테스트 목적으로만 사용하도록 의도되었습니다.

이 POC는 DJI 블루투스/DUML 명령 처리 인터페이스의 보안 문제를 보여줍니다. 일부 명령은 장치 구성을 수정하고, 무선 인터페이스를 비활성화하고, 연결을 중단하고, 항공기를 재부팅하거나 전원을 끄고, 구성을 초기화하거나, 저장된 데이터를 삭제할 수 있습니다.

⚠️ 소유하지 않았거나 테스트에 대한 명시적 승인이 없는 항공기, 장치, 네트워크 또는 시스템에 대해 이 POC를 사용하지 마십시오.

일부 명령은 데이터 손실, 구성 변경, 연결 손실, 장치 중단 또는 기타 의도하지 않은 결과를 초래할 수 있습니다. 테스트는 항공기와 주변 사람 및 재산이 위험에 처하지 않는 통제된 환경에서만 수행해야 합니다.

저자는 이 POC의 사용 또는 오용으로 인해 발생하는 모든 손해, 데이터 손실, 서비스 중단, 항공기 작동 또는 기타 결과에 대해 책임지지 않습니다.

⚠️ 이 POC를 사용함으로써 귀하는 테스트가 승인되었고 모든 적용 가능한 법률, 규정 및 책임 있는 공개 요구 사항을 준수하도록 보장할 책임을 수락합니다.