Firmware- und Treiberfehler setzen weiterhin Wege zum Missbrauch von Kernel und physischem Speicher frei

Mehrere Schwachstellen auf niedriger Ebene zeigten, wie Treiber und Firmware Angreifern gefährliche Kernel-Fähigkeiten verschaffen können. CERT veröffentlichte ein Problem mit Pegatron tdeio64.sys, das über eine ungeschützte IOCTL-Schnittstelle beliebiges Lesen und Schreiben im Kernel ermöglichte, und ein weiterer Bericht behandelte ASUS bsitf.sys, das durch nicht validierte IOCTLs das Abbilden physischen Speichers erlaubte. Eine Schwachstelle im Realtek-Treiber ermöglichte ähnlich den Missbrauch des DMA-Controllers aus dem Benutzermodus und zeigte damit, dass vom Hersteller mitgelieferte Hardwarekomponenten Systemgrenzen untergraben können. Diese Fehler sind wichtig, weil ein Angreifer mit Kernel-Zugriff EDR-Umgehung, das Stehlen von Anmeldedaten, Persistenz und die Installation von Rootkits sehr viel leichter erreichen kann. Firmware- und Treiberprobleme sind besonders riskant, weil sie oft eine normale Neuinstallation überdauern oder vom Betriebssystem als vertrauenswürdig behandelt werden. Die Kernaussage ist, dass Plattformanbieter weiterhin Code mit extrem weitreichenden Privilegien und unvollständiger Validierung ausliefern.

Quellen

• VU#529388: Schwachstelle zur Privilegieneskalation über eine ungeschützte IOCTL-Schnittstelle in Pegatron Tdelo64.sys — CERT Vulnerability Notes
• ASUS bsitf.sys (CVE-2026-13585): Beliebiges Abbilden physischen Speichers über eine nicht validierte IOCTL — /r/netsec
• Schwachstelle im Realtek-Treiber ermöglicht Missbrauch des DMA-Controllers aus dem Benutzermodus ohne zusätzliche Hardware oder zusätzlichen Treiber — /r/netsec
• Proof-of-Concept für CVE-2026-58635 LPE im Windows-Braille-Narrator-Dienst — /r/cybersecurity