Vulnerabilidades de Escalonamento de Privilégios no Driver TdeIo64 da Pegatron (tdeio64.sys)

IDs de CVE	CVE-2026-14960, CVE-2026-14961
Fornecedor	Pegatron Corporation
Produto	Driver TdeIo (tdeio64.sys)
Interface de Dispositivo	\\.\TdeIo
Tipos de Vulnerabilidade	Controlo de Acesso Incorreto (CWE-284), Leitura/Escrita Arbitrária de Memória do Kernel (CWE-787/CWE-125), Acesso Não Protegido a Portas de E/S
Impacto	Escalonamento de Privilégios para SYSTEM, Comprometimento ao Nível de Hardware
Vetor de Ataque	Local
Privilégios Necessários	Baixo (qualquer utilizador local)
Testado Em	Windows 10/11 x64
Investigador	Lucian Alexandru Necula

Resumo

O driver tdeio64.sys da Pegatron é um componente do Windows Driver Model (WDM) que expõe acesso de baixo nível a portas de E/S e a hardware através da interface de dispositivo \\.\TdeIo. A rotina de despacho de IOCTL do driver não valida a origem nem o nível de privilégio dos pedidos recebidos, nem valida adequadamente os endereços de memória fornecidos pelo utilizador antes de os utilizar em operações de leitura/escrita.

Foram identificados dois problemas, que são acompanhados em conjunto neste aviso:

• CVE-2026-14961 — Leitura/escrita arbitrária de memória do kernel alcançável através do tratamento não protegido de IOCTLs, permitindo o escalonamento de privilégios para SYSTEM.
• CVE-2026-14960 — Acesso irrestrito a IOCTLs que interagem diretamente com portas de E/S de hardware, permitindo a manipulação de recursos de hardware para além das proteções normais do SO.

Componente Afetado

• Driver: tdeio64.sys
• Interface: objeto de dispositivo \\.\TdeIo, rotina de despacho de IOCTL
• Acessibilidade: utilizadores locais padrão (não administrativos)

Detalhes Técnicos

CVE-2026-14961 — Leitura/Escrita Arbitrária de Memória do Kernel

O dispatcher de IOCTLs do driver processa pedidos DeviceIoControl sem verificar se o chamador possui privilégios suficientes ou sem restringir quais processos podem abrir um identificador para o dispositivo. Como os parâmetros do pedido fornecidos pelo modo de utilizador são utilizados diretamente como endereços de origem/destino para operações de memória, um atacante local pode criar um pedido que faça o driver ler ou escrever em memória arbitrária do kernel. Esta primitiva pode ser utilizada para sobrescrever o token de segurança do processo chamador com o de um processo SYSTEM, resultando em escalonamento total de privilégios.

CVE-2026-14960 — Acesso Irrestrito a Portas de E/S de Hardware

Além das primitivas de leitura/escrita de memória, o driver expõe IOCTLs que executam operações diretas em portas de E/S de hardware em nome do chamador. Como esses IOCTLs são acessíveis por qualquer processo local sem privilégios, um atacante pode utilizá-los para interagir com recursos de hardware de formas normalmente não permitidas pelo modelo de proteção do sistema operativo, estendendo o impacto da exploração para além do comprometimento ao nível do software.

Nota: Nenhum código de exploração (proof-of-concept) é publicado neste aviso. A descrição técnica acima está intencionalmente limitada ao que é necessário para compreender e corrigir os problemas.

Impacto

• CVE-2026-14961 permite que um atacante local sem privilégios obtenha privilégios de NT AUTHORITY\SYSTEM através de leitura/escrita arbitrária de memória do kernel, possibilitando o comprometimento total do sistema operativo — incluindo contornar ou desativar controlos de segurança de endpoints, extrair credenciais de processos protegidos como lsass.exe, instalar rootkits persistentes e manipular estruturas de dados do kernel.
• CVE-2026-14960 permite a manipulação direta de portas de E/S de hardware a partir de um contexto sem privilégios, estendendo o impacto da exploração para além do limite de segurança do SO.

Uma vez que o tdeio64.sys é distribuído como um componente OEM incluído com placas-mãe e hardware fabricados pela Pegatron, o driver afetado pode estar presente — e ser carregável — numa vasta gama de sistemas de consumo e empresariais.

Recomendações

Para defensores / proprietários de sistemas:

• Trate o tdeio64.sys como vulnerável; não está disponível nenhuma correção suportada pelo fornecedor à data da publicação.
• Desative ou remova o driver onde não for necessário.
• Impeça utilizadores não confiáveis de carregar ou interagir com o driver.
• Onde for suportado, utilize o Windows Defender Application Control (WDAC) ou a Hypervisor-Protected Code Integrity (HVCI) para bloquear o carregamento de drivers vulneráveis conhecidos.

Para o fornecedor:

• Restrinja o acesso ao objeto de dispositivo \\.\TdeIo a chamadores confiáveis e com privilégios adequados.
• Valide todos os ponteiros/endereços fornecidos pelo utilizador antes de realizar leituras ou escritas em seu nome.
• Restrinja ou remova IOCTLs que permitam o acesso direto a portas de E/S de hardware por chamadores sem privilégios.

Cronograma de Divulgação

Data	Evento
2026-04-27	Fornecedor (Pegatron Corp.) notificado através da coordenação do CERT/CC
—	Nenhuma declaração recebida do fornecedor
2026-07-15	Nota de Vulnerabilidade VU#529388 do CERT/CC publicada
2026-07-15	Aviso público publicado (este documento)

Referências

• CERT/CC: VU#529388
• CVE: CVE-2026-14960
• CVE: CVE-2026-14961

Crédito

Descoberto e reportado por Lucian Alexandru Necula.