Pegatron TdeIo64 驱动程序（tdeio64.sys）中的权限提升漏洞

摘要

Pegatron 的 tdeio64.sys 驱动程序是一个 Windows 驱动程序模型（WDM）组件，它通过 \\.\TdeIo 设备接口暴露低层 I/O 端口和硬件访问能力。该驱动的 IOCTL 分发例程既未验证传入请求的来源或权限级别，也未在使用用户提供的内存地址进行读写操作之前对其进行充分验证。

本次公告中识别并一同跟踪了两个问题：

• CVE-2026-14961 — 通过未受保护的 IOCTL 处理可达的任意内核内存读/写，允许权限提升至 SYSTEM。
• CVE-2026-14960 — 对直接与硬件 I/O 端口交互的 IOCTL 的访问不受限制，从而可以在操作系统正常保护范围之外操纵硬件资源。

受影响组件

• 驱动程序： tdeio64.sys
• 接口： \\.\TdeIo 设备对象、IOCTL 分发例程
• 可达性： 标准（非管理员）本地用户

技术细节

CVE-2026-14961 — 任意内核内存读/写

该驱动的 IOCTL 调度器处理 DeviceIoControl 请求时，既不验证调用者是否具有足够的权限，也不限制哪些进程可以打开设备句柄。由于用户态提供的请求参数被直接用作内存操作的源/目标地址，本地攻击者可以构造请求，使驱动读取或写入任意内核内存。该原语可用于将调用进程的安全令牌覆盖为 SYSTEM 进程的安全令牌，从而实现完全权限提升。

CVE-2026-14960 — 不受限制的硬件 I/O 端口访问

除了内存读/写原语外，该驱动还暴露了代表调用者执行直接硬件 I/O 端口操作的 IOCTL。由于任何本地非特权进程都可访问这些 IOCTL，攻击者可以利用它们以操作系统保护模型通常不允许的方式与硬件资源交互，从而将利用影响扩展到软件层面失陷之外。

注意： 本次公告未发布概念验证（PoC）利用代码。上述技术描述刻意限于理解与修复问题所需的必要内容。

影响

• CVE-2026-14961 允许本地非特权攻击者通过任意内核内存读/写获取 NT AUTHORITY\SYSTEM 权限，从而完全攻陷操作系统——包括绕过或禁用端点安全控制、从受保护进程（如 lsass.exe）中提取凭据、安装持久性 rootkit 以及操纵内核数据结构。
• CVE-2026-14960 允许在非特权上下文中直接操纵硬件 I/O 端口，将利用影响扩展到操作系统安全边界之外。

由于 tdeio64.sys 是随 Pegatron 制造的主板和硬件捆绑分发的 OEM 组件，受影响的驱动可能存在于并可在各种消费级和企业级系统上加载。

建议

对于防御者/系统所有者：

• 将 tdeio64.sys 视为易受攻击；发布之时尚无厂商支持的修复程序。
• 在不需要时禁用或移除该驱动。
• 阻止不受信任的用户加载或与该驱动交互。
• 在支持的情况下，使用 Windows Defender 应用程序控制（WDAC）或 Hypervisor 强制代码完整性（HVCI）来阻止已知易受攻击的驱动加载。

对于厂商：

• 将对 \\.\TdeIo 设备对象的访问限制为受信任且具有适当权限的调用者。
• 在代表用户执行读写操作之前，验证所有用户提供的指针/地址。
• 限制或删除允许非特权调用者直接访问硬件 I/O 端口的 IOCTL。

披露时间线

参考

• CERT/CC：VU#529388
• CVE：CVE-2026-14960
• CVE：CVE-2026-14961

致谢

由 Lucian Alexandru Necula 发现并报告。