SecBoard
Zurück zur CVE-Übersicht

CVE-2026-80112

HIGH(7.8)

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 7.8 — Hoch

EPSS-Score

0.1%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

7.8

Technische Schwere

Beschreibung

PassMark PerformanceTest before 11.1 build 1012, BurnInTest before 11.1 build 1000, and OSForensics before 11.1 build 1016 contain an improper access control vulnerability in the DirectIo64.sys kernel driver that allows unprivileged local users to perform privileged hardware operations by opening a handle to the device object created without a security descriptor. Attackers can issue IOCTLs through the permissive default Windows ACL applied to the device to access restricted hardware operations regardless of privilege or integrity level.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • PassMark PerformanceTest 11.1 build 1012
  • BurnInTest 11.1 build 1000
  • OSForensics 11.1 build 1016

Threat-Hunting-Queries

Die Schwachstelle ermöglicht es unprivilegierten lokalen Benutzern, privilegierte Hardware-Operationen durchzuführen, indem sie ein Handle für das Geräteobjekt des DirectIo64.sys-Treibers öffnen, das ohne Sicherheitsdeskriptor erstellt wurde. Die Erkennung konzentriert sich auf das Öffnen eines Handles für dieses spezifische Geräteobjekt durch Prozesse mit niedriger Integrität oder ohne Administra

Sentinel/Defender KQL

DeviceEvents
| where ActionType == "DriverLoaded" and FileName == "DirectIo64.sys"
| extend DriverPath = InitiatingProcessFolderPath
| join kind=inner (DeviceProcessEvents
    | where ActionType == "ProcessCreated" and InitiatingProcessFileName == "DirectIo64.sys"
    | extend ParentProcessId = InitiatingProcessId, ParentProcessName = InitiatingProcessFileName
    | project DeviceId, Timestamp, InitiatingProcessFolderPath, InitiatingProcessFileName, InitiatingProcessIntegrityLevel, InitiatingProcessAccountName, ParentProcessId, ParentProcessName
) on DeviceId
| where InitiatingProcessIntegrityLevel != "System" and InitiatingProcessIntegrityLevel != "High"
| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessFolderPath, InitiatingProcessIntegrityLevel, InitiatingProcessAccountName, DriverPath, ParentProcessName, ParentProcessId
| summarize count() by InitiatingProcessFileName, InitiatingProcessFolderPath, InitiatingProcessIntegrityLevel, InitiatingProcessAccountName, DriverPath, ParentProcessName, ParentProcessId

Splunk SPL

index=windows_events EventCode=4688 NewProcessName="*DirectIo64.sys" OR ParentProcessName="*DirectIo64.sys" | where NOT (User_Integrity_Level="System" OR User_Integrity_Level="High") | table _time, ComputerName, NewProcessName, ParentProcessName, User, User_Integrity_Level

Sigma

title: DirectIo64.sys Improper Access Control
author: SecBoard
date: 2026/08/28
modified: 2026/08/28
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\DirectIo64.sys'
  filter:
    IntegrityLevel|contains: ['System', 'High']
  condition: selection and not filter
  level: high

Elastic ES|QL

FROM process
| WHERE event.action == "start" AND process.executable.endswith("\\DirectIo64.sys")
| WHERE NOT (process.integrity_level == "System" OR process.integrity_level == "High")
| SELECT @timestamp, host.name, process.executable, process.parent.executable, user.name, process.integrity_level

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Indikatoren

Datei-Hashes (1)

  • b147a26dad59d9109710798b033ec3504a799f02e4356a358d6e32fdf7841b4a

Übernommen wurden nur Indikatoren, die wörtlich in einer Hersteller- oder Research-Quelle standen.

Referenzen