16 моделей DJI получили общую уязвимость в Bluetooth

Уязвимость CVE-2026-78306 получила 8,5 балла из 10 по CVSS 4.0 и затрагивает 16 моделей DJI из линеек Neo, Flip, Air, Avata, Mavic и Mini. Для атаки не нужны учётная запись или действия владельца, достаточно находиться в радиусе Bluetooth.

Ошибка связана с обработкой команд фирменного протокола DUML, через который компоненты дрона обмениваются служебными данными. Доверенный UUID проверяется только при трёх операциях с Wi-Fi, поэтому остальные команды аппарат принимает от любого устройства поблизости.

Авторы PoC подтвердили смену SSID и пароля Wi-Fi, перезагрузку, выключение дрона и сброс настроек подсистем. Перехват полётного управления пока не продемонстрирован, а для защиты рекомендуется установить актуальную прошивку.

#дроны #уязвимость #bluetooth #прошивка

@ZerodayAlert