CVE-2026-78251 in Air 3
요약
\~에 의해 VulDB • 2026. 08. 24.
DJI 드론에는 고정된 자격 증명을 공유하며 영향을 받는 모델 간에 공통으로 사용되는 FTP 서비스가 포함되어 있습니다. 이 서비스는 인증된 사용자가 파일 크기, 파일 수 또는 소비되는 총 저장 공간의 제한 없이 **/blackbox/upgrade/** 디렉토리에 파일을 업로드하고 해당 디렉토리 내 기존 파일을 덮어쓸 수 있게 합니다. 드론 내부 네트워크나 USB RNDIS 인터페이스에 접근할 수 있는 공격자는 사용 가능한 저장 공간을 고갈시켜 항공기가 비행 기록, 로그 및 텔레메트리를 작성하지 못하게 하고, 향후 펌웨어 업데이트를 방지할 수도 있습니다. 업로드된 파일은 재부팅이나 공장 초기화 후에도 유지됩니다.
영향을 받는 모델은 DJI Neo (01.00.0400 이전), DJI Neo 2 (01.00.0500 이전), DJI Flip (01.00.1200 이전), DJI Air 3 (01.00.1600 이전), DJI Air 3S (01.00.1400 이전), DJI Avata 2 (01.00.0400 이전), DJI Avata 360 (01.00.0300 이전), DJI Mavic 3 (01.00.1400 이전), DJI Mavic 3 Classic (01.00.0800 이전), DJI Mavic 3 Pro (01.01.0700 이전), DJI Mavic 4 Pro (01.00.0500 이전), DJI Mini 2 (01.07.0200 이전), DJI Mini 3 (01.00.0500 이전), DJI Mini 3 Pro (01.00.0900 이전), DJI Mini 4 Pro (01.00.1100 이전) 및 DJI Mini 5 Pro (01.00.0600 이전)입니다.
해결책은 벤더의 펌웨어 업데이트를 수행하는 것입니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.