CVE-2026-56155: Posílení seznamu ACL kontejneru Správce distribuovaných klíčů služby AD FS

1. Přihlaste se k nápravě nastavením klíče registru RemediteDkmAcl na hodnotu 1. Další informace najdete v tématu o Windows Server 2016 a novějších verzích v části Náprava výslovného souhlasu.

2. Pokud není klíč registru nakonfigurovaný, aktualizace do 13. října 2026 automaticky opraví nezabezpečené seznamy ACL. Pokud chcete automatickou opravu odmítnout, nastavte klíč registru na hodnotu 0.

1. Udělte účtu služby AD FS oprávnění k nápravě, viz téma o systémech Windows Server 2012 a Windows Server 2012 R2 v části Náprava výslovného souhlasu.

2. Pak se přihlaste k nápravě nastavením klíče registru RemediateDkmAcl na hodnotu 1.

Po instalaci aktualizace z července 2026 se detekce automaticky spustí jednu minutu po spuštění služby AD FS a poté každých 24 hodin. V protokolu událostí služby AD FS/Správa zkontrolujte následující události.

Poznámka Během režimu auditování se v seznamu řízení přístupu neprovedou žádné automatické změny.

Použijte níže uvedené pokyny k nápravě specifické pro platformu.

Windows Server 2016 a novější

Důrazně doporučujeme, aby správci provedli nápravu během fáze režimu auditování a identifikovali a vyřešili všechny problémy s kompatibilitou před zahájením vynucování v říjnu 2026. Pokud chcete povolit nápravu, nastavte následující klíč registru na libovolném serveru AD FS ve farmě.

Po nastavení klíče registru buď:

• Počkejte až 24 hodin na další detekční cyklus, nebo

• Restartování služby AD FS, aby se náprava aktivovala dříve

Při úspěšné nápravě se událost 1135 (informace) zaznamená s předchozím seznamem řízení přístupu ve formátu SDDL.

Windows Server 2012 a Windows Server 2012 R2

U těchto platforem udělte požadovaná oprávnění účtu služby AD FS podle pokynů níže na libovolném serveru AD FS ve farmě před povolením registru RemediateDkmAcl . V opačném případě pokusy o nápravu selžou.

1. Identifikujte DN kontejneru DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Zjištění účtu služby AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Udělte explicitní povolení položek řízení přístupu (ACE) pro WriteOwner a WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Po udělení požadovaných oprávnění nastavte následující klíč registru na libovolném serveru AD FS ve farmě, abyste umožnili nápravu.

   Informace	Podrobnosti
   Klíč registru	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Value: (Hodnota)	RemediateDkmAcl
   Typ:	DWORD
   Data:	1
   Poznámka:	Pokud HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS neexistuje, vytvořte nejprve klíč ADFS a pak nastavte RemediateDkmAcl pod tímto klíčem.

5. Po nastavení klíče registru buď:

• Počkejte až 24 hodin na další detekční cyklus, nebo

• Restartování služby AD FS, aby se náprava aktivovala dříve

Při úspěšné nápravě se událost 1135 (informace) zaznamená s předchozím seznamem řízení přístupu ve formátu SDDL.

Uložení předchozí knihovny SDDL (doporučeno)

Jako preventivní opatření doporučujeme po úspěšné nápravě uložit předchozí seznam ACL (SDDL) z události 1135. I když se neočekává, že předchozí seznam řízení přístupu (ACL) bude ve většině případů potřeba (protože původní oprávnění byla nejistá), jeho dostupnost poskytuje záchrannou síť pro případné nepředvídané problémy s kompatibilitou.

Poznámka Protokoly událostí se můžou převracet kvůli omezení velikosti. Pokud budete v budoucnu potřebovat předchozí SDDL a událost byla přepsána, bude trvale ztracena.

Uložení SDDL do souboru:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Jak obnovit předchozí seznam řízení přístupu

Pokud po nápravě dojde k problémům a potřebujete se vrátit k předchozímu seznamu řízení přístupu:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Poznámka Tento příkaz vyžaduje, aby účet, na kterém je spuštěný, měl SeSecurityPrivilege (obvykle ho mají správci domény). Spusťte ho z relace PowerShellu se zvýšenými oprávněními na počítači připojeném k doméně.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Po obnovení nastavte RemediateDkmAcl = 0 , abyste zabránili opětovné nápravě služby v dalším cyklu.

Počínaje aktualizací z října 2026 probíhá oprava ve výchozím nastavení bez nutnosti klíče registru. Chování je ekvivalentní tomu, že RemediteDkmAcl = 1 nastavená.

Vynucení automatické nápravy se nevztahuje na systém Windows Server 2012 nebo Windows Server 2012 R2. U těchto platforem proveďte nápravu ručně podle kroků v tématu o Windows Server 2012 a Windows Server 2012 R2 v části Náprava výslovného souhlasu.

Pokud potřebujete po aktualizaci z října 2026 zakázat automatickou nápravu, nastavte hodnotu RemediateDkmAcl v registru.

Tím dojde k explicitnímu zakázání nápravy. Detekce (událost 1132) se stále spouští, aby správci o nezabezpečeném stavu věděli.

Důležité Odhlášení ponechá váš kontejner DKM zranitelný. Tuto možnost použijte jenom v případě, že máte zvláštní požadavek na kompatibilitu a plánujete ručně posílit seznam řízení přístupu (ACL).