CVE-2026-78306 — Внедрение команд DJI DUML через Bluetooth POC

Описание

Дроны DJI предоставляют интерфейс Bluetooth, используемый для установления соединения с Wi-Fi-интерфейсом дрона и обмена учётными данными Wi-Fi.

Интерфейс Bluetooth проверяет доверенный UUID устройства для трёх команд:

• Get SSID
• Get PSK
• Get MAC address

Остальные команды не требуют такой же проверки подлинности. В результате удалённый злоумышленник в зоне действия Bluetooth может отправлять несанкционированные команды DUML на дрон.

В зависимости от команды злоумышленник может изменить конфигурацию дрона, включая смену пароля Wi-Fi и потенциальное получение доступа к внутренней сети дрона, включение или отключение радиоинтерфейсов, перезагрузку или выключение аппарата, сброс конфигурации и выполнение других действий.

POC предоставляет реестр команд, позволяющий тестировать доступные команды без изменения исходного кода Python. Реестр команд, включая команду, получателя, требования аутентификации и описание каждой команды, определён в commands.json.

Затронутые продукты

ДЕМО

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

Установка

1. Установите POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. Включите дрон

3. Запустите POC

python3 ble_console.py

4. После сканирования выберите SSID дрона

Справочник команд

Следующие команды зарегистрированы в commands.json. POC разделяет команды на операции чтения, конфигурации, управления радиоинтерфейсами, сброса, системные и параметрические.

Команды чтения

Команды записи конфигурации

Эти операции классифицируются в POC как danger и поэтому требуют явного подтверждения перед отправкой.

Команды управления радиоинтерфейсами

Команды управления радиоинтерфейсами реализованы через соответствующие обработчики dji_network.

Команды сброса

POC помечает обе операции как опасные, поскольку они изменяют постоянную конфигурацию.

Системные команды

Параметрические команды

POC получает имена параметров из flyc_parameters.txt и предоставляет интерактивный выбор параметров. Чтобы добавить известный параметр, который вы хотите изменить или сбросить, добавьте его имя в flyc_parameters.txt. После этого параметр станет доступен для выбора при запуске POC.

Добавление команды: редактируйте commands.json, а не код

Меню генерируется из commands.json при запуске. Чтобы добавить команду, добавьте новый объект в список commands раздела. Команда появится при следующем запуске POC.

Пример:

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

Поля команды

Получатель по умолчанию — 0x07 (network:0), отправитель по умолчанию — 0x02 (mobile:0).

Конструкторы полезной нагрузки

Интерактивные конструкторы полезной нагрузки определены в payload_builders.py.

Доступные конструкторы включают:

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

Чтобы добавить новый конструктор, реализуйте функцию, зарегистрируйте её в BUILDERS и укажите её имя в commands.json.

Экран подтверждения

Команды, классифицированные как danger, требуют явного подтверждения перед отправкой.

Экран подтверждения отображает информацию, например:

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

Информация DOES берётся из поля note команды, а дополнительные предупреждения — из поля warn в commands.json.

Параметры

Функция Change a parameter предоставляет доступ к известным параметрам конфигурации, перечисленным в flyc_parameters.txt.

Параметр можно выбрать по имени, указать его значение, преобразовать в выбранную ширину с прямым порядком байтов и отправить с помощью set_cfg_item (0x03/0xf9).

Reset a parameter использует reset_cfg_item (0x03/0xfa) для восстановления выбранного параметра до значения по умолчанию прошивки.

Макросы

POC также предоставляет несколько предопределённых макросов:

Макросы определены отдельно от отдельных записей команд.

Файлы

⚠️ Отказ от ответственности

⚠️ ВНИМАНИЕ: Данное proof of concept предназначено строго для образовательных целей, исследований в области безопасности и авторизованного тестирования на проникновение.

Данный POC демонстрирует проблемы безопасности в интерфейсе обработки команд DJI Bluetooth/DUML. Некоторые команды могут изменять конфигурацию устройства, отключать радиоинтерфейсы, прерывать соединение, перезагружать или выключать аппарат, сбрасывать конфигурацию или удалять сохранённые данные.

⚠️ НЕ используйте данный POC против любого аппарата, устройства, сети или системы, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Некоторые команды могут вызвать потерю данных, изменение конфигурации, потерю соединения, нарушение работы устройства или другие непреднамеренные последствия. Тестирование следует проводить только в контролируемой среде, где аппарат, окружающие люди и имущество не подвергаются риску.

Авторы не несут ответственности за любой ущерб, потерю данных, прерывание обслуживания, работу аппарата или другие последствия, возникшие в результате использования или неправильного использования данного POC.

⚠️ Используя данный POC, вы принимаете на себя ответственность за обеспечение того, чтобы ваше тестирование было авторизованным и соответствовало всем применимым законам, нормативным требованиям и требованиям ответственного раскрытия.