CVE-2026-56155: AD FS Distributed Key Manager-objektbeholderens ACL-hærdning

1. Tilmeld dig afhjælpning ved at angive registreringsdatabasenøglen RemediateDkmAcl til 1. Se Windows Server 2016 og nyere emne i afsnittet om tilmeldingsafhjælpning for at få flere oplysninger.

2. Senest den 13. oktober 2026 afhjælper opdateringen automatisk usikre ACL'er, hvis registreringsdatabasenøglen ikke er konfigureret. Hvis du vil fravælge automatisk afhjælpning, skal du angive registreringsdatabasenøglen til 0.

1. Giv AD FS-tjenestekontotilladelser til at afhjælpe under emnet Windows Server 2012 og Windows Server 2012 R2 i afsnittet om tilmeldingsafhjælpning.

2. Derefter skal du tilmelde dig afhjælpning ved at angive registreringsdatabasenøglen RemediateDkmAcl til 1.

Når du har installeret opdateringen fra juli 2026, kører registreringen automatisk et minut, efter AD FS-tjenesten starter, og derefter hver 24. time derefter. Kontrollér AD FS/Administration-hændelsesloggen for følgende hændelser.

Bemærk Der foretages ingen automatiske ændringer af ACL under overvågningstilstand.

Brug den platformsspecifikke afhjælpningsvejledning nedenfor.

Windows Server 2016 og senere

Vi anbefaler på det kraftigste, at administratorer afhjælper dette i overvågningstilstandsfasen for at identificere og løse eventuelle kompatibilitetsproblemer, før håndhævelsen begynder i oktober 2026. Du kan aktivere afhjælpning ved at angive følgende registreringsdatabasenøgle på en af AD FS-serverne i farmen.

Når du har angivet registreringsdatabasenøglen, skal du enten:

• Vent i op til 24 timer på den næste registreringscyklus, eller

• Genstart AD FS-tjenesten for at udløse afhjælpning hurtigere

Ved vellykket afhjælpning logføres hændelse 1135 (oplysninger) med den forrige ACL i SDDL-format.

Windows Server 2012 og Windows Server 2012 R2

For disse platforme skal du give de påkrævede tilladelser til AD FS-tjenestekontoen ved at følge nedenstående trin på en hvilken som helst AD FS-server i farmen, før du aktiverer RemediateDkmAcl-registreringsdatabasen . Ellers vil afhjælpningsforsøg mislykkes.

1. Identificer DKM container DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificer AD FS-tjenestekontoen:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Tildel eksplicitte tilladelses-ACE'er til WriteOwner og WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Når de påkrævede tilladelser er tildelt, skal du angive følgende registreringsdatabasenøgle på en af AD FS-serverne i farmen for at aktivere afhjælpning.

   Oplysninger	Detaljer
   Registreringsdatabasenøgle	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Værdi:	RemediateDkmAcl
   Type:	DWORD
   Data:	1
   Bemærk!	Hvis "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" ikke findes, skal du først oprette tasten "ADFS" og derefter angive RemediateDkmAcl under den tast.

5. Når du har angivet registreringsdatabasenøglen, skal du enten:

• Vent i op til 24 timer på den næste registreringscyklus, eller

• Genstart AD FS-tjenesten for at udløse afhjælpning hurtigere

Ved vellykket afhjælpning logføres hændelse 1135 (oplysninger) med den forrige ACL i SDDL-format.

Gem den tidligere SDDL (anbefales)

Som en sikkerhedsforanstaltning anbefaler vi, at du gemmer den forrige ACL (SDDL) fra hændelse 1135 efter vellykket afhjælpning. Selvom den forrige ACL ikke forventes at være nødvendig i de fleste tilfælde (da de oprindelige tilladelser var usikre), giver det et sikkerhedsnet for eventuelle uforudsete kompatibilitetsproblemer, hvis den er tilgængelig.

Bemærk Hændelseslogge kan overføres pga. størrelsesbegrænsninger. Hvis du har brug for den tidligere SDDL fremover, og hændelsen er blevet overskrevet, går den permanent tabt.

Sådan gemmes SDDL til en fil:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Sådan gendannes den tidligere ACL

Hvis du oplever problemer efter afhjælpning og har brug for at vende tilbage til den tidligere ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Bemærk Denne kommando kræver, at den konto, der kører den, har SeSecurityPrivilege (dette har domæneadministratorer typisk). Kør dette fra en PowerShell-session med administratorrettigheder på en domænetilknyttet maskine.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Efter gendannelse skal du indstille RemediateDkmAcl = 0 for at forhindre, at tjenesten afhjælpes i næste cyklus.

Fra og med opdateringen fra oktober 2026 kører afhjælpningen som standard, uden at registreringsdatabasenøglen kræves. Funktionsmåden svarer til at have RemediateDkmAcl = 1 angivet.

Automatisk afhjælpning af håndhævelse gælder ikke for Windows Server 2012 eller Windows Server 2012 R2. For disse platforme skal du afhjælpe manuelt ved at følge trinnene i emnet Windows Server 2012 og Windows Server 2012 R2 i afsnittet om tilmeldingsafhjælpning.

Hvis du har brug for at deaktivere automatisk afhjælpning efter oktober 2026-opdateringen, skal du angive værdien RemediateDkmAcl i registreringsdatabasen.

Dette deaktiverer eksplicit afhjælpningen. Registrering (hændelse 1132) fortsætter med at udløses, så administratorer er opmærksomme på den usikre tilstand.

Vigtigt Hvis du fravælger det, er din DKM-container sårbar. Brug kun dette, hvis du har et bestemt kompatibilitetskrav og planlægger at hærde ACL'en manuelt.