Privilege Escalation Schwachstellen im Pegatron TdeIo64 Treiber (tdeio64.sys)

Zusammenfassung

Der Pegatron-Treiber tdeio64.sys ist eine Windows Driver Model (WDM)-Komponente, die über die Geräteschnittstelle \\.\TdeIo Low-Level-E/A-Port- und Hardwarezugriff bereitstellt. Die IOCTL-Dispatch-Routine des Treibers validiert weder die Herkunft noch die Berechtigungsstufe eingehender Anfragen und validiert auch nicht angemessen die vom Benutzer bereitgestellten Speicheradressen, bevor sie in Lese-/Schreiboperationen verwendet werden.

Zwei Probleme wurden identifiziert und werden in diesem Advisory gemeinsam verfolgt:

• CVE-2026-14961 – Beliebiges Lesen/Schreiben von Kernel-Speicher, das durch ungeschützte IOCTL-Verarbeitung erreichbar ist, was eine Privilegienerweiterung zu SYSTEM ermöglicht.
• CVE-2026-14960 – Uneingeschränkter Zugriff auf IOCTLs, die direkt mit Hardware-E/A-Ports interagieren, was eine Manipulation von Hardwareressourcen über die normalen OS-Schutzmechanismen hinaus erlaubt.

Betroffene Komponente

• Treiber: tdeio64.sys
• Schnittstelle: \\.\TdeIo Geräteobjekt, IOCTL-Dispatch-Routine
• Erreichbarkeit: Normale (nicht-administrative) lokale Benutzer

Technische Details

CVE-2026-14961 — Beliebiges Lesen/Schreiben von Kernel-Speicher

Die IOCTL-Dispatcher-Routine des Treibers verarbeitet DeviceIoControl-Anfragen, ohne zu überprüfen, ob der Aufrufer über ausreichende Berechtigungen verfügt oder einzuschränken, welche Prozesse ein Handle auf das Gerät öffnen dürfen. Da die vom Benutzermodus bereitgestellten Anforderungsparameter direkt als Quell-/Zieladressen für Speicheroperationen verwendet werden, kann ein lokaler Angreifer eine Anfrage erstellen, die den Treiber veranlasst, beliebigen Kernel-Speicher zu lesen oder zu beschreiben. Diese Primitive kann verwendet werden, um das Sicherheitstoken des aufrufenden Prozesses mit dem eines SYSTEM-Prozesses zu überschreiben, was zu einer vollständigen Privilegienerweiterung führt.

CVE-2026-14960 — Uneingeschränkter Hardware-E/A-Port-Zugriff

Zusätzlich zu den Lese-/Schreib-Primitiven für den Speicher legt der Treiber IOCTLs offen, die direkte Hardware-E/A-Port-Operationen im Auftrag des Aufrufers durchführen. Da diese IOCTLs von jedem lokalen, unprivilegierten Prozess erreicht werden können, kann ein Angreifer sie nutzen, um mit Hardwareressourcen zu interagieren, was normalerweise durch das Schutzmodell des Betriebssystems nicht erlaubt ist, und erweitert so die Auswirkungen der Ausnutzung über die Software-Ebene hinaus.

Hinweis: In diesem Advisory wird kein Proof-of-Concept-Exploit-Code veröffentlicht. Die obige technische Beschreibung ist bewusst auf das beschränkt, was zum Verständnis und zur Behebung der Probleme erforderlich ist.

Auswirkung

• CVE-2026-14961 erlaubt einem lokalen, unprivilegierten Angreifer, NT AUTHORITY\SYSTEM-Berechtigungen durch beliebiges Lesen/Schreiben von Kernel-Speicher zu erlangen, was eine vollständige Kompromittierung des Betriebssystems ermöglicht – einschließlich Umgehen oder Deaktivieren von Endpunktsicherheitskontrollen, Extrahieren von Anmeldedaten aus geschützten Prozessen wie lsass.exe, Installieren persistenter Rootkits und Manipulieren von Kernel-Datenstrukturen.
• CVE-2026-14960 erlaubt die direkte Manipulation von Hardware-E/A-Ports aus einem unprivilegierten Kontext und erweitert die Auswirkungen der Ausnutzung über die Betriebssystemsicherheitsgrenze hinaus.

Da tdeio64.sys als OEM-Komponente gebündelt mit von Pegatron hergestellten Mainboards und Hardware vertrieben wird, kann der betroffene Treiber auf einer breiten Palette von Verbraucher- und Unternehmenssystemen vorhanden und ladbar sein.

Empfehlungen

Für Verteidiger / Systembesitzer:

• Behandeln Sie tdeio64.sys als anfällig; zum Zeitpunkt der Veröffentlichung ist keine herstellerseitige Lösung verfügbar.
• Deaktivieren oder entfernen Sie den Treiber, wo er nicht benötigt wird.
• Verhindern Sie, dass nicht vertrauenswürdige Benutzer den Treiber laden oder mit ihm interagieren.
• Verwenden Sie, wo unterstützt, Windows Defender Application Control (WDAC) oder Hypervisor-Protected Code Integrity (HVCI), um das Laden bekannter anfälliger Treiber zu blockieren.

Für den Hersteller:

• Schränken Sie den Zugriff auf das Geräteobjekt \\.\TdeIo auf vertrauenswürdige, entsprechend privilegierte Aufrufer ein.
• Validieren Sie alle vom Benutzer bereitgestellten Zeiger/Adressen, bevor Sie Lese- oder Schreiboperationen in deren Auftrag durchführen.
• Schränken Sie IOCTLs ein oder entfernen Sie sie, die direkten Hardware-E/A-Port-Zugriff von unprivilegierten Aufrufern erlauben.

Offenlegungszeitplan

Referenzen

• CERT/CC: VU#529388
• CVE: CVE-2026-14960
• CVE: CVE-2026-14961

Quellenangabe

Entdeckt und gemeldet von Lucian Alexandru Necula.