CVE-2026-56155: AD FS Distributed Key Manager-Container ACL-Härtung

1. Melden Sie sich für die Wartung an, indem Sie den Registrierungsschlüssel RemediateDkmAcl auf 1 setzen. Weitere Informationen finden Sie im Thema Windows Server 2016 und höher im Abschnitt Opt-in-Wartung.

2. Wenn der Registrierungsschlüssel nicht konfiguriert ist, werden unsichere ACLs durch das Update bis zum 13. Oktober 2026 automatisch behoben. Wenn Sie die automatische Korrektur deaktivieren möchten, legen Sie den Registrierungsschlüssel auf 0 fest.

1. Erteilen von Berechtigungen für das AD FS-Dienstkonto zum Korrigieren finden Sie im Thema Windows Server 2012 und Windows Server 2012 R2 im Abschnitt Opt-in-Wartung.

2. Danach entscheiden Sie sich für die Korrektur, indem Sie den Registrierungsschlüssel "RemediateDkmAcl " auf 1 setzen.

Nach der Installation des Updates vom Juli 2026 wird die Erkennung automatisch eine Minute nach dem Start des AD FS-Diensts und danach alle 24 Stunden ausgeführt. Überprüfen Sie das AD FS/Admin-Ereignisprotokoll auf die folgenden Ereignisse.

Hinweis Während des Überwachungsmodus werden keine automatischen Änderungen an der ACL vorgenommen.

Verwenden Sie die unten stehenden plattformspezifischen Korrekturanleitungen.

Windows Server 2016 und höher

Es wird dringend empfohlen, dass Administratoren während der Überwachungsmodusphase eine Korrektur durchführen, um Kompatibilitätsprobleme zu identifizieren und zu beheben, bevor die Erzwingung im Oktober 2026 beginnt. Um die Wartung zu aktivieren, legen Sie den folgenden Registrierungsschlüssel auf einem beliebigen AD FS-Server in der Farm fest.

Führen Sie nach dem Festlegen des Registrierungsschlüssels eine der folgenden Aktionen aus:

• Warten Sie bis zu 24 Stunden auf den nächsten Erkennungszyklus, oder

• Starten Sie den AD FS-Dienst neu, um die Problembehebung früher auszulösen

Bei erfolgreicher Wiederherstellung wird das Ereignis 1135 (Information) mit der vorherigen ACL im SDDL-Format protokolliert.

Windows Server 2012 und Windows Server 2012 R2

Erteilen Sie für diese Plattformen dem AD-FS-Dienstkonto die erforderlichen Berechtigungen, indem Sie die folgenden Schritte auf einem beliebigen AD-FS-Server in der Farm ausführen, bevor Sie die Registrierung "RemediateDkmAcl" aktivieren. Andernfalls schlagen Korrekturversuche fehl.

1. Identifizieren Sie den DKM-Container-DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifizieren Sie das AD FS-Dienstkonto:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Explizite Erteilung expliziter Allow ACEs for WriteOwner and WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Nachdem die erforderlichen Berechtigungen erteilt wurden, legen Sie den folgenden Registrierungsschlüssel auf einem beliebigen AD FS-Server in der Farm fest, um die Wiederherstellung zu aktivieren.

   Informationen	Details
   Registrierungsschlüssel	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Wert:	RemediateDkmAcl
   Typ:	DWORD
   Daten:	1
   Hinweis	Wenn "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" nicht vorhanden ist, erstellen Sie zuerst den Schlüssel "ADFS", und legen Sie dann "RemediateDkmAcl " unter diesem Schlüssel fest.

5. Führen Sie nach dem Festlegen des Registrierungsschlüssels eine der folgenden Aktionen aus:

• Warten Sie bis zu 24 Stunden auf den nächsten Erkennungszyklus, oder

• Starten Sie den AD FS-Dienst neu, um die Problembehebung früher auszulösen

Bei erfolgreicher Wiederherstellung wird das Ereignis 1135 (Information) mit der vorherigen ACL im SDDL-Format protokolliert.

Vorheriges SDDL speichern (empfohlen)

Als Vorsichtsmaßnahme empfehlen wir, die vorherige ACL (SDDL) aus Ereignis 1135 nach erfolgreicher Wiederherstellung zu speichern. Obwohl die vorherige ACL in den meisten Fällen voraussichtlich nicht benötigt wird (da die ursprünglichen Berechtigungen unsicher waren), bietet ihre Verfügbarkeit ein Sicherheitsnetz für unvorhergesehene Kompatibilitätsprobleme.

Hinweis Ereignisprotokolle können aufgrund von Größenbeschränkungen übertragen werden. Wenn Sie die vorherige SDDL in der Zukunft benötigen und das Ereignis überschrieben wurde, geht sie dauerhaft verloren.

So speichern Sie die SDDL-Datei in einer Datei:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Wiederherstellen der vorherigen ACL

Wenn nach der Wiederherstellung Probleme auftreten und Sie zur vorherigen ACL rückgängig machen müssen:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Hinweis Für diesen Befehl muss das ausführende Konto über SeSecurityPrivilege verfügen (normalerweise haben Domänenadministratoren dies). Führen Sie dies in einer PowerShell-Sitzung mit erhöhten Rechten auf einem in die Domäne eingebundenen Computer aus.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Legen Sie nach dem Wiederherstellen den Wert "RemediateDkmAcl = 0 " fest, um zu verhindern, dass der Dienst beim nächsten Zyklus erneut aktualisiert wird.

Ab dem Update vom Oktober 2026 wird die Korrektur standardmäßig ohne den Registrierungsschlüssel ausgeführt. Das Verhalten entspricht der Festlegung von RemediateDkmAcl = 1 .

Die automatische Erzwingungskorrektur gilt nicht für Windows Server 2012 oder Windows Server 2012 R2. Führen Sie für diese Plattformen eine manuelle Korrektur durch, indem Sie die Schritte im Thema Windows Server 2012 und Windows Server 2012 R2 im Abschnitt Korrigieren der Opt-in-Konfiguration ausführen.

Wenn Sie die automatische Korrektur nach dem Update vom Oktober 2026 deaktivieren müssen, legen Sie den Wert RemediateDkmAcl in der Registrierung fest.

Dadurch wird die Wartung explizit deaktiviert. Die Erkennung (Ereignis 1132) wird weiterhin ausgelöst, damit Administratoren über den unsicheren Zustand informiert sind.

Wichtig Wenn Sie diese Option deaktivieren, ist Ihr DKM-Container anfällig. Verwenden Sie diese Option nur, wenn Sie bestimmte Kompatibilitätsanforderungen haben und die ACL manuell verstärken möchten.