Pegatron TdeIo64 ड्राइवर (tdeio64.sys) में विशेषाधिकार वृद्धि कमजोरियाँ


CVE आईडी	CVE-2026-14960, CVE-2026-14961
विक्रेता	Pegatron Corporation
उत्पाद	TdeIo ड्राइवर (`tdeio64.sys`)
डिवाइस इंटरफेस	`\\.\TdeIo`
कमजोरी प्रकार	अनुचित पहुँच नियंत्रण (CWE-284), मनमाना कर्नेल मेमोरी पढ़ना/लिखना (CWE-787/CWE-125), असुरक्षित I/O पोर्ट पहुँच
प्रभाव	सिस्टम (SYSTEM) तक विशेषाधिकार वृद्धि, हार्डवेयर-स्तरीय समझौता
हमला वेक्टर	स्थानीय
आवश्यक विशेषाधिकार	निम्न (कोई भी स्थानीय उपयोगकर्ता)
परीक्षण किया गया	Windows 10/11 x64
शोधकर्ता	Lucian Alexandru Necula

सारांश

Pegatron tdeio64.sys ड्राइवर एक विंडोज ड्राइवर मॉडल (WDM) घटक है जो \\.\TdeIo डिवाइस इंटरफेस के माध्यम से निम्न-स्तरीय I/O पोर्ट और हार्डवेयर पहुँच प्रदान करता है। ड्राइवर का IOCTL डिस्पैच रूटीन आने वाले अनुरोधों के स्रोत या विशेषाधिकार स्तर को मान्य नहीं करता है, और न ही पढ़ने/लिखने के संचालन में उपयोग करने से पहले उपयोगकर्ता द्वारा प्रदान किए गए मेमोरी पतों को पर्याप्त रूप से मान्य करता है।

इस सलाह में दो मुद्दों की पहचान की गई है और उन्हें एक साथ ट्रैक किया गया है:

CVE-2026-14961 — असुरक्षित IOCTL हैंडलिंग के माध्यम से पहुँच योग्य मनमाना कर्नेल मेमोरी पढ़ना/लिखना, जो सिस्टम (SYSTEM) तक विशेषाधिकार वृद्धि की अनुमति देता है।
CVE-2026-14960 — IOCTL तक अप्रतिबंधित पहुँच जो सीधे हार्डवेयर I/O पोर्ट के साथ इंटरैक्ट करते हैं, जो सामान्य OS सुरक्षा से परे हार्डवेयर संसाधनों के हेरफेर की अनुमति देता है।

प्रभावित घटक

ड्राइवर: tdeio64.sys
इंटरफेस: \\.\TdeIo डिवाइस ऑब्जेक्ट, IOCTL डिस्पैच रूटीन
पहुँच योग्यता: मानक (गैर-प्रशासनिक) स्थानीय उपयोगकर्ता

तकनीकी विवरण

CVE-2026-14961 — मनमाना कर्नेल मेमोरी पढ़ना/लिखना

ड्राइवर का IOCTL डिस्पैचर DeviceIoControl अनुरोधों को यह सत्यापित किए बिना संसाधित करता है कि कॉल करने वाले के पास पर्याप्त विशेषाधिकार हैं या यह प्रतिबंधित करता है कि कौन सी प्रक्रियाएँ डिवाइस पर हैंडल खोल सकती हैं। चूंकि उपयोगकर्ता मोड द्वारा प्रदान किए गए अनुरोध पैरामीटर सीधे मेमोरी संचालन के लिए स्रोत/गंतव्य पते के रूप में उपयोग किए जाते हैं, एक स्थानीय हमलावर एक अनुरोध तैयार कर सकता है जो ड्राइवर को मनमाने कर्नेल मेमोरी से पढ़ने या लिखने का कारण बनता है। इस प्रिमिटिव का उपयोग कॉल करने वाली प्रक्रिया के सुरक्षा टोकन को सिस्टम प्रक्रिया के साथ अधिलेखित करने के लिए किया जा सकता है, जिसके परिणामस्वरूप पूर्ण विशेषाधिकार वृद्धि होती है।

CVE-2026-14960 — अप्रतिबंधित हार्डवेयर I/O पोर्ट पहुँच

मेमोरी पढ़ने/लिखने के प्रिमिटिव के अलावा, ड्राइवर उन IOCTL को उजागर करता है जो कॉल करने वाले की ओर से प्रत्यक्ष हार्डवेयर I/O पोर्ट संचालन करते हैं। चूंकि ये IOCTL किसी भी स्थानीय, अविशेषाधिकार प्राप्त प्रक्रिया द्वारा पहुँच योग्य हैं, एक हमलावर उनका उपयोग हार्डवेयर संसाधनों के साथ उन तरीकों से इंटरैक्ट करने के लिए कर सकता है जो सामान्य रूप से ऑपरेटिंग सिस्टम के सुरक्षा मॉडल द्वारा अनुमत नहीं हैं, जो शोषण के प्रभाव को सॉफ्टवेयर-स्तरीय समझौते से परे बढ़ाता है।

नोट: इस सलाह में कोई प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट कोड प्रकाशित नहीं किया गया है। उपरोक्त तकनीकी विवरण जानबूझकर उस तक सीमित है जो मुद्दों को समझने और उन्हें ठीक करने के लिए आवश्यक है।

प्रभाव

CVE-2026-14961 एक स्थानीय, अविशेषाधिकार प्राप्त हमलावर को मनमाने कर्नेल मेमोरी पढ़ने/लिखने के माध्यम से NT AUTHORITY\SYSTEM विशेषाधिकार प्राप्त करने की अनुमति देता है, जो ऑपरेटिंग सिस्टम की पूर्ण समझौता को सक्षम करता है — जिसमें एंडपॉइंट सुरक्षा नियंत्रणों को बायपास या अक्षम करना, lsass.exe जैसी संरक्षित प्रक्रियाओं से क्रेडेंशियल निकालना, स्थायी रूटकिट स्थापित करना और कर्नेल डेटा संरचनाओं में हेरफेर करना शामिल है।
CVE-2026-14960 एक अविशेषाधिकार प्राप्त संदर्भ से हार्डवेयर I/O पोर्ट के प्रत्यक्ष हेरफेर की अनुमति देता है, जो शोषण के प्रभाव को OS सुरक्षा सीमा से परे बढ़ाता है।

चूंकि tdeio64.sys को Pegatron-निर्मित मदरबोर्ड और हार्डवेयर के साथ बंडल किए गए OEM घटक के रूप में वितरित किया जाता है, प्रभावित ड्राइवर उपभोक्ता और एंटरप्राइज़ सिस्टम की एक विस्तृत श्रृंखला पर मौजूद और लोड करने योग्य हो सकता है।

सिफारिशें

रक्षकों / सिस्टम मालिकों के लिए:

tdeio64.sys को कमजोर मानें; प्रकाशन के समय कोई विक्रेता-समर्थित फिक्स उपलब्ध नहीं है।
जहाँ ड्राइवर की आवश्यकता नहीं है, उसे अक्षम या हटा दें।
अविश्वसनीय उपयोगकर्ताओं को ड्राइवर लोड करने या उसके साथ इंटरैक्ट करने से रोकें।
जहाँ समर्थित हो, ज्ञात कमजोर ड्राइवरों को लोड होने से रोकने के लिए विंडोज डिफेंडर एप्लिकेशन कंट्रोल (WDAC) या हाइपरवाइज़र-संरक्षित कोड अखंडता (HVCI) का उपयोग करें।

विक्रेता के लिए:

\\.\TdeIo डिवाइस ऑब्जेक्ट तक पहुँच को विश्वसनीय, उपयुक्त रूप से विशेषाधिकार प्राप्त कॉल करने वालों तक सीमित करें।
पढ़ने या लिखने के संचालन करने से पहले सभी उपयोगकर्ता-आपूर्ति किए गए पॉइंटर्स/पतों को मान्य करें।
उन IOCTL को प्रतिबंधित या हटा दें जो अविशेषाधिकार प्राप्त कॉल करने वालों से प्रत्यक्ष हार्डवेयर I/O पोर्ट पहुँच की अनुमति देते हैं।

प्रकटीकरण समयरेखा

तारीख	घटना
2026-04-27	विक्रेता (Pegatron Corp.) को CERT/CC समन्वय के माध्यम से सूचित किया गया
—	विक्रेता से कोई बयान प्राप्त नहीं हुआ
2026-07-15	CERT/CC भेद्यता नोट VU#529388 प्रकाशित
2026-07-15	सार्वजनिक सलाह प्रकाशित (यह दस्तावेज़)

संदर्भ

श्रेय

Lucian Alexandru Necula द्वारा खोजा और रिपोर्ट किया गया।

CVE-2026-14960-CVE-2026-14961

सबसे लोकप्रिय