CVE-2026-78306 — Injeção de Comando DUML em DJI via Bluetooth POC

Descrição

Os drones DJI expõem uma interface Bluetooth usada para estabelecer uma conexão com a interface Wi-Fi do drone e trocar credenciais de Wi-Fi.

A interface Bluetooth verifica o UUID confiável do dispositivo para três comandos:

• Get SSID
• Get PSK
• Get MAC address

Os comandos restantes não exigem a mesma verificação de autenticação. Como resultado, um atacante remoto dentro do alcance do Bluetooth pode ser capaz de enviar comandos DUML não autorizados ao drone.

Dependendo do comando, um atacante pode ser capaz de modificar a configuração do drone, incluindo alterar a senha do Wi-Fi e potencialmente obter acesso à rede interna do drone, habilitar ou desabilitar interfaces de rádio, reiniciar ou desligar a aeronave, redefinir a configuração e realizar outras ações.

O POC fornece um registro de comandos que permite testar os comandos disponíveis sem modificar o código-fonte Python. O registro de comandos, incluindo o comando, o receptor, os requisitos de autenticação e a descrição de cada comando, é definido em commands.json.

Produtos Afetados

DEMO

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Instalação

1. Instale o POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Ligue o drone

3. Execute o POC

python3 ble_console.py

4. Após a varredura, selecione o SSID do Drone

Referência de Comandos

Os comandos a seguir estão registrados em commands.json. O POC separa os comandos em operações de leitura, configuração, controle de rádio, redefinição, sistema e parâmetros.

Comandos de Leitura

Comandos de Escrita de Configuração

Essas operações são classificadas como danger no POC e, portanto, exigem confirmação explícita antes de serem enviadas.

Comandos de Controle de Rádio

Os comandos de controle de rádio são implementados através dos manipuladores dji_network correspondentes.

Comandos de Redefinição

O POC marca ambas as operações como perigosas porque elas modificam a configuração persistente.

Comandos de Sistema

Comandos de Parâmetros

O POC obtém os nomes dos parâmetros de flyc_parameters.txt e fornece seleção interativa de parâmetros. Para adicionar um parâmetro conhecido que você deseja modificar ou redefinir, adicione seu nome a flyc_parameters.txt. O parâmetro ficará então disponível para seleção quando o POC for iniciado.

Adicionando um Comando: Edite commands.json, Não o Código

O menu é gerado a partir de commands.json na inicialização. Para adicionar um comando, adicione um novo objeto à lista commands de uma seção. O comando aparecerá na próxima vez que o POC for iniciado.

Exemplo:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

Campos de Comando

O receptor padrão é 0x07 (network:0) e o remetente padrão é 0x02 (mobile:0).

Construtores de Payload

Os construtores interativos de payload são definidos em payload_builders.py.

Os construtores disponíveis incluem:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

Para adicionar um novo construtor, implemente a função, registre-a em BUILDERS e faça referência ao seu nome a partir de commands.json.

Tela de Confirmação

Os comandos classificados como danger exigem confirmação explícita antes da transmissão.

A tela de confirmação exibe informações como:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

A informação DOES é obtida do note do comando, enquanto avisos adicionais são obtidos do campo warn em commands.json.

Parâmetros

A função Change a parameter fornece acesso aos parâmetros de configuração conhecidos listados em flyc_parameters.txt.

Um parâmetro pode ser selecionado por nome, fornecido com um valor, convertido para a largura little-endian selecionada e enviado usando set_cfg_item (0x03/0xf9).

Reset a parameter usa reset_cfg_item (0x03/0xfa) para restaurar o parâmetro selecionado ao seu padrão de firmware.

Macros

O POC também fornece várias macros predefinidas:

As macros são definidas separadamente das entradas de comando individuais.

Arquivos

⚠️ Aviso Legal

⚠️ AVISO: Esta prova de conceito destina-se estritamente a fins educacionais, de pesquisa de segurança e de testes de penetração autorizados.

Este POC demonstra problemas de segurança na interface de tratamento de comandos Bluetooth/DUML da DJI. Alguns comandos podem modificar a configuração do dispositivo, desabilitar interfaces de rádio, interromper a conectividade, reiniciar ou desligar a aeronave, redefinir a configuração ou excluir dados armazenados.

⚠️ NÃO use este POC contra qualquer aeronave, dispositivo, rede ou sistema que você não possua ou não tenha autorização explícita para testar.

Alguns comandos podem causar perda de dados, alterações de configuração, perda de conectividade, interrupção do dispositivo ou outras consequências não intencionais. Os testes devem ser realizados apenas em um ambiente controlado onde a aeronave e as pessoas e propriedades ao redor não estejam em risco.

Os autores não são responsáveis por qualquer dano, perda de dados, interrupção de serviço, operação da aeronave ou outras consequências resultantes do uso ou uso indevido deste POC.

⚠️ Ao usar este POC, você aceita a responsabilidade de garantir que seus testes sejam autorizados e estejam em conformidade com todas as leis, regulamentos e requisitos de divulgação responsável aplicáveis.