CVE-2026-78306 — DJI DUML 蓝牙命令注入 POC

描述

DJI 无人机暴露了一个蓝牙接口，用于建立与无人机 Wi-Fi 接口的连接并交换 Wi-Fi 凭据。

该蓝牙接口会针对三条命令检查设备的受信任 UUID：

• 获取 SSID
• 获取 PSK
• 获取 MAC 地址

其余命令不需要相同的身份验证检查。因此，处于蓝牙范围内的远程攻击者可能能够向无人机发送未经授权的 DUML 命令。

根据命令的不同，攻击者可能能够修改无人机的配置，包括更改 Wi-Fi 密码，并可能获得对无人机内部网络的访问权限、启用或禁用无线电接口、重启或关闭飞行器、重置配置以及执行其他操作。

该 POC 提供了一个命令注册表，允许在不修改 Python 源代码的情况下测试可用命令。命令注册表（包括命令、接收方、身份验证要求以及每条命令的描述）定义在 commands.json 中。

受影响产品

演示

https://github.com/user-attachments/assets/57f51df2-5160-404c-9fd3-2a3a8b700008

安装

1. 安装 POC

# Clone the repository
git clone https://github.com/Wh02m1/CVE-2026-78306-POC.git
cd CVE-2026-78306-POC

# Create and activate a Python virtual environment
python3 -m venv venv
source venv/bin/activate

# Install dependencies
pip install -r requirements.txt

2. 开启无人机电源

3. 运行 POC

python3 ble_console.py

4. 扫描后选择无人机 SSID

命令参考

以下命令注册在 commands.json 中。该 POC 将命令分为读取、配置、无线电控制、重置、系统和参数操作。

读取命令

写入配置命令

这些操作在 POC 中被归类为 danger，因此在发送前需要明确确认。

无线电控制命令

无线电控制命令通过相应的 dji_network 处理程序实现。

重置命令

该 POC 将这两项操作标记为危险，因为它们会修改持久配置。

系统命令

参数命令

该 POC 从 flyc_parameters.txt 获取参数名称，并提供交互式参数选择。要添加您想要修改或重置的已知参数，请将其名称添加到 flyc_parameters.txt。该参数随后将在 POC 启动时可供选择。

添加命令：编辑 commands.json，而非代码

菜单在启动时从 commands.json 生成。要添加命令，请向某个部分的 commands 列表添加一个新对象。该命令将在下次启动 POC 时出现。

示例：

{
  "label": "GET Channel",
  "cmd_set": "0x07",
  "cmd_id": "0x2c",
  "receiver": "0x07",
  "payload": "",
  "tier": "read",
  "bt_reply": true,
  "note": "wms_evt_get_chan -> wifi_mgmt_get_chan."
}

命令字段

默认接收方为 0x07（network:0），默认发送方为 0x02（mobile:0）。

负载构建器

交互式负载构建器定义在 payload_builders.py 中。

可用的构建器包括：

• ssid
• psk
• country
• mac
• channel
• bss_type
• power_level
• raw

要添加新的构建器，请实现该函数，在 BUILDERS 中注册它，并在 commands.json 中引用其名称。

确认屏幕

归类为 danger 的命令在发送前需要明确确认。

确认屏幕显示如下信息：

──────────────────────────────────────────────────────────────────────
  !!!  DANGEROUS COMMAND  !!!
──────────────────────────────────────────────────────────────────────
 COMMAND    device_reset L1 config
 ROUTE      00/de -> ve_air:1
 PAYLOAD    11 01 00 00 00 00
 DOES       system / FC / gimbal / camera / wifi / sdr config reset
 WARNING    The FC configuration reset can restart the motors.
──────────────────────────────────────────────────────────────────────
 Type YES to send:

DOES 信息取自命令的 note，而额外警告取自 commands.json 中的 warn 字段。

参数

Change a parameter 功能提供对 flyc_parameters.txt 中列出的已知配置参数的访问。

可以按名称选择参数，为其提供值，转换为所选的小端宽度，并使用 set_cfg_item（0x03/0xf9）发送。

Reset a parameter 使用 reset_cfg_item（0x03/0xfa）将所选参数恢复为其固件默认值。

宏

该 POC 还提供了几个预定义宏：

这些宏与各个命令条目分开定义。

文件

⚠️ 免责声明

⚠️ 警告：此概念验证严格用于教育、安全研究和授权渗透测试目的。

此 POC 演示了 DJI 蓝牙/DUML 命令处理接口中的安全问题。某些命令可以修改设备配置、禁用无线电接口、中断连接、重启或关闭飞行器、重置配置或删除存储的数据。

⚠️ 请勿对任何您不拥有或没有明确授权测试的飞行器、设备、网络或系统使用此 POC。

某些命令可能导致数据丢失、配置更改、连接丢失、设备中断或其他意外后果。测试应仅在受控环境中进行，确保飞行器以及周围人员和财产不处于风险之中。

作者不对因使用或滥用此 POC 而导致的任何损害、数据丢失、服务中断、飞行器操作或其他后果负责。

⚠️ 使用此 POC 即表示您承担确保您的测试获得授权并遵守所有适用法律、法规和负责任披露要求的责任。