Vulnerabilidades de Escalada de Privilegios en el Controlador Pegatron TdeIo64 (tdeio64.sys)

Resumen

El controlador tdeio64.sys de Pegatron es un componente del Modelo de Controlador de Windows (WDM) que expone el acceso de bajo nivel a puertos de E/S y hardware a través de la interfaz del dispositivo \\.\TdeIo. La rutina de despacho de IOCTL del controlador no valida el origen ni el nivel de privilegio de las solicitudes entrantes, ni valida adecuadamente las direcciones de memoria proporcionadas por el usuario antes de usarlas en operaciones de lectura/escritura.

Se identificaron dos problemas que se rastrean juntos en este aviso:

• CVE-2026-14961 — Lectura/escritura arbitraria de memoria del kernel alcanzable a través del manejo desprotegido de IOCTL, permitiendo la escalada de privilegios a SYSTEM.
• CVE-2026-14960 — Acceso sin restricciones a IOCTL que interactúan directamente con puertos de E/S de hardware, permitiendo la manipulación de recursos de hardware más allá de las protecciones normales del SO.

Componente Afectado

• Controlador: tdeio64.sys
• Interfaz: objeto de dispositivo \\.\TdeIo, rutina de despacho de IOCTL
• Alcanzabilidad: Usuarios locales estándar (no administrativos)

Detalles Técnicos

CVE-2026-14961 — Lectura/Escritura Arbitraria de Memoria del Kernel

El despachador de IOCTL del controlador procesa las solicitudes DeviceIoControl sin verificar que el llamador tenga los privilegios suficientes ni restringir qué procesos pueden abrir un identificador al dispositivo. Debido a que los parámetros de solicitud suministrados por el modo de usuario se usan directamente como direcciones de origen/destino para operaciones de memoria, un atacante local puede crear una solicitud que haga que el controlador lea o escriba en memoria arbitraria del kernel. Esta primitiva se puede usar para sobrescribir el token de seguridad del proceso llamador con el de un proceso SYSTEM, resultando en una escalada completa de privilegios.

CVE-2026-14960 — Acceso sin Restricciones a Puertos de E/S de Hardware

Además de las primitivas de lectura/escritura de memoria, el controlador expone IOCTL que realizan operaciones directas en puertos de E/S de hardware en nombre del llamador. Debido a que estos IOCTL son accesibles por cualquier proceso local sin privilegios, un atacante puede usarlos para interactuar con recursos de hardware de formas no permitidas normalmente por el modelo de protección del sistema operativo, extendiendo el impacto de la explotación más allá del compromiso a nivel de software.

Nota: No se publica código de explotación de prueba de concepto en este aviso. La descripción técnica anterior está intencionadamente limitada a lo necesario para entender y remediar los problemas.

Impacto

• CVE-2026-14961 permite a un atacante local sin privilegios obtener privilegios de NT AUTHORITY\SYSTEM a través de lectura/escritura arbitraria de memoria del kernel, permitiendo el compromiso total del sistema operativo, incluyendo la omisión o desactivación de controles de seguridad de endpoints, extracción de credenciales de procesos protegidos como lsass.exe, instalación de rootkits persistentes y manipulación de estructuras de datos del kernel.
• CVE-2026-14960 permite la manipulación directa de puertos de E/S de hardware desde un contexto sin privilegios, extendiendo el impacto de la explotación más allá del límite de seguridad del SO.

Debido a que tdeio64.sys se distribuye como un componente OEM incluido con placas base y hardware fabricados por Pegatron, el controlador afectado puede estar presente (y ser cargable) en una amplia gama de sistemas de consumo y empresariales.

Recomendaciones

Para defensores / propietarios de sistemas:

• Tratar tdeio64.sys como vulnerable; no hay una solución compatible con el proveedor disponible en el momento de la publicación.
• Deshabilitar o eliminar el controlador donde no sea necesario.
• Evitar que usuarios no confiables carguen o interactúen con el controlador.
• Donde sea compatible, usar Windows Defender Application Control (WDAC) o Hypervisor-Protected Code Integrity (HVCI) para bloquear la carga de controladores vulnerables conocidos.

Para el proveedor:

• Restringir el acceso al objeto de dispositivo \\.\TdeIo solo a llamadores confiables y con los privilegios adecuados.
• Validar todos los punteros/direcciones proporcionados por el usuario antes de realizar lecturas o escrituras en su nombre.
• Restringir o eliminar los IOCTL que permiten el acceso directo a puertos de E/S de hardware desde llamadores sin privilegios.

Cronología de Divulgación

Referencias

• CERT/CC: VU#529388
• CVE: CVE-2026-14960
• CVE: CVE-2026-14961

Créditos

Descubierto y reportado por Lucian Alexandru Necula.