CVE-2026-77812 — Transmissão BLE em texto claro de PSK de Wi-Fi e UUID de sessão por drones DJI POC

Registro CVE: https://www.cve.org/CVERecord?id=CVE-2026-77812

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-77812

Descrição

Os drones DJI expõem um canal de controle DUML via Bluetooth. Todas as mensagens nesse canal — em ambas as direções, entre o aplicativo DJI Fly e o drone — são enviadas em texto claro. Não há criptografia na camada de enlace BLE nem criptografia na camada de aplicação.

Um atacante passivo dentro do alcance de rádio pode ler o conteúdo completo de cada comando e resposta, incluindo:

• o SSID de Wi-Fi do ponto de acesso do drone,
• a PSK de Wi-Fi, retornada pelo drone em resposta ao comando GET Password,
• o UUID de sessão confiável que o aplicativo registra no drone.

Não é necessário pareamento, interação com o drone nem qualquer relação de confiança prévia. Recuperar a PSK permite ao atacante ingressar na rede Wi-Fi do drone; recuperar o UUID permite que ele se apresente como um cliente já confiável.

Produtos Afetados

Produto	Versão Afetada
DJI Neo	0 – 01.00.0400
DJI Neo 2	0 – 01.00.0500
DJI Flip	0 – 01.00.1200
DJI Air 3	0 – 01.00.1600
DJI Air 3S	0 – 01.00.1400
DJI Avata 2	0 – 01.00.0400
DJI Avata 360	0 – 01.00.0300
DJI Mavic 3	0 – 01.00.1400
DJI Mavic 3 Classic	0 – 01.00.0800
DJI Mavic 3 Pro	0 – 01.01.0700
DJI Mavic 4 Pro	0 – 01.00.0500
DJI Mini 2	0 – 01.07.0200
DJI Mini 3	0 – 01.00.0500
DJI Mini 3 Pro	0 – 01.00.0900
DJI Mini 4 Pro	0 – 01.00.1100
DJI Mini 5 Pro	0 – 01.00.0600

Reprodução

Configuração

A captura é feita com um Nordic nRF52840 Dongle executando o firmware nRF Sniffer for Bluetooth LE. Programado com esse firmware, o dongle atua como um sniffer passivo: ele segue os canais de advertising e de dados e encaminha cada pacote recebido ao host via porta serial USB, onde o Wireshark o decodifica.

1. Grave o firmware nRF Sniffer for BLE no dongle nRF52840.
2. Instale o plugin extcap do nRF Sniffer para o Wireshark.
3. Inicie o Wireshark, selecione a interface do sniffer e fixe-se no endereço BLE do drone.
4. Ligue o drone e execute uma sessão normal do DJI Fly (conecte e deixe o aplicativo buscar as credenciais de Wi-Fi).
5. Salve o arquivo pcap capturado no Wireshark e forneça-o ao poc.py.

⚠️ Aviso Legal

⚠️ AVISO: Esta prova de conceito destina-se estritamente a fins educacionais, de pesquisa em segurança e de testes de penetração autorizados.

⚠️ NÃO use este POC contra qualquer aeronave, dispositivo, rede ou sistema que você não possua ou para o qual não tenha autorização explícita de teste.