Abdelrahman Yousef

Um serviço FTP utiliza credenciais fixas (hardcoded) compartilhadas entre vários modelos, permitindo que usuários autenticados sobrescrevam arquivos existentes ou façam upload de arquivos sem restrições de tamanho, quantidade ou armazenamento total no endpoint `/blackbox/upgrade/`. Um invasor com acesso à rede interna ou à interface USB RNDIS pode esgotar o armazenamento disponível, o que pode impedir a aeronave de registrar registros de voo, logs e telemetria, além de bloquear futuras atualizações de firmware. Os arquivos enviados persistem após a reinicialização ou a redefinição de fábrica.

O servidor de mídia HTTP em certos drones fornece fotos e vídeos armazenados através do endpoint `/v2` sem exigir a autenticação do cliente. Como os nomes dos arquivos seguem um padrão previsível, um invasor na rede interna do drone pode enumerar os nomes dos arquivos para exfiltrar mídias. Essa exposição pode revelar dados sensíveis, como locais privados, histórico de viagens e indivíduos identificáveis.

Uma interface de comando DUML não autenticada é exposta via Bluetooth, permitindo que um invasor ao alcance modifique parâmetros de configuração de Wi-Fi, como SSID, PSK, endereço MAC, código de país regulatório e canal sem fio. Ao sobrescrever a PSK do Wi-Fi com um valor conhecido, um invasor pode se conectar à rede Wi-Fi interna para potencialmente acessar a interface de controle de voo e emitir comandos de voo. Além disso, comandos DUML manipulados podem desativar ou reiniciar as interfaces de Wi-Fi e Bluetooth, desconectar clientes ou redefinir configurações sem fio, resultando em uma condição de negação de serviço que interrompe o controle sem fio, vídeo e conexões de telemetria durante o voo.

O servidor de mídia HTTP não impõe limites suficientes para taxas de requisição ou conexões recebidas. Um invasor com acesso à rede interna do drone pode esgotar o pool de conexões do servidor solicitando repetidamente arquivos de mídia armazenados. Isso resulta em uma negação de serviço, impedindo que o aplicativo DJI Fly recupere fotos e vídeos da aeronave no modo QuickTransfer.

Drones DJI transmitem mensagens do protocolo DUML (DJI Universal Markup Language) via BLE (Bluetooth Low Energy) sem criptografia. Quando um cliente tenta se conectar ao drone via Wi-Fi ou quando o drone está no modo QuickTransfer, o aplicativo DJI Fly troca mensagens DUML com o drone via BLE. Um invasor dentro do alcance do BLE pode monitorar passivamente esse tráfego e recuperar credenciais em texto claro, incluindo o PSK do Wi-Fi, SSID e o identificador confiável `UUID`. A obtenção dessas credenciais permite que o invasor entre na rede Wi-Fi interna do drone, interaja com serviços de rede expostos e decifre o tráfego Wi-Fi trocado entre o drone e o usuário legítimo. Além disso, o `UUID` capturado pode ser replicado para ignorar a confirmação física de novos dispositivos conectados. As credenciais não mudam entre as sessões, a menos que o operador redefina manualmente as configurações de Wi-Fi. O ataque é totalmente passivo, não deixando indícios para o operador ou para o drone de que a sessão foi observada.