CVE-2026-56155: Подсилване на ACL на контейнер на разпределен диспечер на разпределени ключове AD FS

1. Запишете се за отстраняването на проблеми чрез задаване на ключа от системния регистър RemediateDkmAcl на 1. Вижте темата за Windows Server 2016 и по-нови версии в раздела за лечение на проблеми с включване за повече информация.

2. До 13 октомври 2026 г., ако ключът от системния регистър не е конфигуриран, актуализацията автоматично ще отстрани незащитените ACL. За да се отпишете от автоматичното отстраняване на грешки, задайте ключа от системния регистър на 0.

1. Предоставяне на разрешения за отстраняване на проблеми на акаунт за услуга AD FS вижте темата за Windows Server 2012 и Windows Server 2012 R2 в раздела "Лечение при включване".

2. След това се запишете за отстраняването на грешки, като зададете ключа от системния регистър RemediateDkmAcl на 1.

След инсталиране на актуализацията от юли 2026 г. откриването се изпълнява автоматично една минута след стартирането на услугата AD FS и на всеки 24 часа след това. Проверете регистъра на събитията на AD FS/Администрация за следните събития:

Забележка По време на режима на проверка не се правят автоматични промени в ACL.

Използвайте указанията за отстраняване на проблеми, специфични за платформата, посочени по-долу.

Windows Server 2016 и по-нови версии

Настоятелно препоръчваме на администраторите да извършват отстраняването на проблеми по време на фазата на режим на проверка, за да идентифицират и разрешат всички проблеми със съвместимостта, преди прилагането да започне през октомври 2026 г. За да разрешите лечението, задайте следния ключ от системния регистър на всеки един AD FS сървър в групата сървъри.

След настройването на ключа от системния регистър:

• Изчакайте до 24 часа за следващия цикъл на откриване или

• Рестартирайте услугата AD FS, за да задействате лечение по-рано

При успешно отстраняване на проблеми събитие 1135 (Информация) се регистрира с предишния ACL в SDDL формат.

Windows Server 2012 и Windows Server 2012 R2

За тези платформи дайте необходимите разрешения за акаунта за услугата AD FS, като следвате стъпките по-долу на всеки един сървър AD FS в групата, преди да разрешите системния регистър RemediateDkmAcl . В противен случай опитите за лечение ще бъдат неуспешни.

1. Идентифицирайте DN на контейнера DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Идентифицирайте акаунта за услуга AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Grant explicit Allow ACEs for WriteOwner и WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. След като необходимите разрешения са дадени, задайте следния ключ от системния регистър на всеки един AD FS сървър в групата, за да разрешите отстраняването на грешки.

   Информация	Детайли
   Ключ от системния регистър	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Стойност:	RemediateDkmAcl
   Тип:	DWORD
   Данни:	1
   Забележка	Ако няма "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS", първо създайте ключа "ADFS", след което задайте RemediateDkmAcl под този ключ.

5. След настройването на ключа от системния регистър:

• Изчакайте до 24 часа за следващия цикъл на откриване или

• Рестартирайте услугата AD FS, за да задействате лечение по-рано

При успешно отстраняване на проблеми събитие 1135 (Информация) се регистрира с предишния ACL в SDDL формат.

Записване на предишния SDDL (препоръчва се)

Като предпазна мярка ви препоръчваме да запишете предишния ACL (SDDL) от събитие 1135 след успешно отстраняване на грешки. Макар че предишният ACL не се очаква да е необходим в повечето случаи (тъй като първоначалните разрешения са били несигурни), наличието му предоставя предпазна мрежа при непредвидени проблеми със съвместимостта.

Забележка Регистрите на събитията може да се преместят поради ограничения на размера. Ако имате нужда от предишния SDDL в бъдеще и събитието е било заместено, то ще бъде загубено окончателно.

За да запишете SDDL файла:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Как се възстановява предишна ACL

Ако имате проблеми след лечението и трябва да се върнете към предишния ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Забележка Тази команда изисква акаунтът, който я изпълнява, да има SeSecurityPrivilege (обикновено администраторите на домейни имат такава). Изпълнете това от сесия на PowerShell с администраторски права на машина, присъединена към домейн.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

След възстановяването задайте RemediateDkmAcl = 0 , за да предотвратите повторното отстраняване на неизправности от услугата при следващия цикъл.

Като се започне с актуализацията от октомври 2026 г., лечението се изпълнява по подразбиране, без да изисква ключа от системния регистър. Поведението е еквивалентно на настройка RemediateDkmAcl = 1 .

Прилагането на автоматично отстраняване не важи за Windows Server 2012 или Windows Server 2012 R2. За тези платформи отстранявайте проблеми ръчно, като следвате стъпките в темата за Windows Server 2012 и Windows Server 2012 R2 в раздела "Включване на лечение".

Ако трябва да забраните автоматичното отстраняване на проблеми след актуализацията от октомври 2026 г., задайте стойността RemediateDkmAcl в системния регистър.

Това явно забранява отстраняването на грешки. Откриването (събитие 1132) продължава да се задейства, така че администраторите да са наясно със състоянието на несигурност.

Важно Отписването оставя вашия DKM контейнер уязвим. Използвайте това само ако имате конкретни изисквания за съвместимост и планирате ръчно да подсилите ACL.