CVE-2026-56155: AD FS Distributed Key Manager-Container ACL-Härtung

Ursprüngliches Veröffentlichungsdatum: Freitag, 14. Juli 2026
KB-ID: 5121391

Inhalt dieses Artikels

• Zusammenfassung
• In Aktion treten
• Erwartete Änderungen des sicheren Zustands
• Deaktivieren der automatischen Wiederherstellung
• Besitzfehler Ereignisfall (Ereignis-ID 1137)
• Vorheriges SDDL speichern (empfohlen)
• Wiederherstellen der vorherigen ACL
• Ereignisverweise
• Änderungsprotokoll

Zusammenfassung

Die Access Control List (ACL) für den Distributed Key Manager (DKM)-Container ist mit dem Windows-Sicherheitsupdate vom 14. Juli 2026 in ihre erste Härtungsphase eingetreten, in der die automatische Erkennung unsicherer ACLs und ein Opt-in-Behebungsmechanismus eingeführt wurden.

Ab dem Windows-Sicherheitsupdate vom 13. Oktober 2026 korrigiert AD FS standardmäßig automatisch unsichere DKM-Container-ACLs. Administratoren können dies deaktivieren, indem sie RemediateDkmAcl auf 0 setzen. Diese Härtungsbemühungen beheben eine Erhöhung der Berechtigungen (EOP), die sich aus der in CVE-2026-56155 | Sicherheitsrisiko in Active Directory-Verbunddienste (AD FS) bezüglich Rechteerweiterungen.

Zusammengefasst basiert Active Directory-Verbunddienste (AD FS) (AD FS) auf dem DKM-Container, um die symmetrischen Schlüssel zu speichern, die zum Schutz von Tokensignatur- und Tokenverschlüsselungszertifikaten für private Schlüssel verwendet werden. Wenn die ACL des Containers zu freizügig ist, kann ein Angreifer mit Lesezugriff auf das DKM-Schlüsselmaterial die privaten Schlüssel entschlüsseln, die Token signieren.

Zurück zum Anfang

In Aktion treten

Führen Sie zum Schutz Ihrer Umgebung die folgenden Schritte aus:

1. Installieren Sie das entsprechende Windows-Sicherheitsupdate, das am oder nach dem 13. Oktober 2026 veröffentlicht wurde, auf allen AD FS-Servern.

2. Nach der Installation überprüft der AD FS-Dienst die DKM-Container-ACL bei jedem Start des Diensts und danach alle 24 Stunden. Wenn die ACL unsicher ist, versucht AD FS automatisch die Behebung, es sei denn, RemediateDkmAcl ist auf 0 festgelegt.

3. Überprüfen Sie das AD FS Admin-Ereignisprotokoll auf die folgenden Ereignisse:

   • Ereignis-ID: 1133 gibt an, dass die DKM-Container-ACL sicher ist. Es sind keine weiteren Schritte erforderlich.

   • Ereignis-ID: 1132 gibt an, dass die DKM-Container-ACL unsicher ist und eine automatische Wiederherstellung durchgeführt wird. ACL-Details werden in einen oder mehrere nachfolgende Ereignis-ID 510-Einträge mit derselben Instanz-ID geschrieben. Überprüfen Sie die Ereignis-IDs 1135, 1136 oder 1137 auf das Wiederherstellungsergebnis, und führen Sie basierend auf diesem Ergebnis die folgende Aktion aus.

   • Ereignis-ID: 1135 (Wiederherstellung erfolgreich) Es sind keine weiteren Korrekturmaßnahmen erforderlich. Speichern Sie die vorherige ACL aus den nachfolgenden Ereignis-ID 510-Einträgen, wie im Abschnitt Speichern der vorherigen SDDL beschrieben.

   • Ereignis-ID: 1136 (Fehler bei der Wiederherstellung der Wiederherstellung) Überprüfen Sie die nachfolgenden Ereignis-ID 510-Einträge auf die aktuellen ACL- und Ausnahmedetails, korrigieren Sie den zugrunde liegenden Fehler, starten Sie dann den AD FS-Dienst neu oder warten Sie auf den nächsten Erkennungszyklus.

   • Ereignis-ID: 1137 (Besitzeränderung fehlgeschlagen) Erteilen Sie dem AD FS-Dienstkonto die Berechtigungen "WriteOwner" und "WriteDacl", indem Sie die Anleitung zum Besitzfehlerereignis befolgen. Starten Sie dann den AD FS-Dienst neu oder warten Sie auf den nächsten Erkennungszyklus.

AD FS DKM-Container ACL-Ereignisse

Ereigniskennung	F	Bedeutung
1132	Warnung	DKM-Container-ACL entspricht nicht dem erwarteten sicheren Zustand. Überprüfen Sie die Wartungsereignisse 1135, 1136 und 1137.
1133	Informationen	Die DKM-Container-ACL befindet sich im erwarteten sicheren Zustand. Es ist keine Aktion erforderlich.
1134	Fehler	Bei der Erkennungsaufgabe ist ein Fehler aufgetreten (z. B. ein LDAP-Verbindungsfehler). Überprüfen Sie die AD FS-Debugprotokolle, und korrigieren Sie den zugrunde liegenden Fehler.
1135	Informationen	DKM-Container Die ACL-Korrektur wurde erfolgreich abgeschlossen. Speichern Sie die vorherige SDDL.
1136	Fehler	Fehler bei der ACL-Korrektur für DKM-Container. Überprüfen Sie die korrelierten Ereignis-ID 510-Einträge und AD FS-Debug-Ablaufverfolgungen, und korrigieren Sie den zugrunde liegenden Fehler.
1137	Fehler	AD FS konnte den Besitz des DKM-Containers nicht übernehmen, da das Dienstkonto nicht über die erforderlichen Berechtigungen verfügt. Erteilen Sie die erforderlichen Berechtigungen
510	Informationen	Enthält ACL- oder Ausnahmedetails, die von den Ereignis-IDs 1132, 1135 oder 1136 überlaufen. Übereinstimmungseinträge nach Instanz-ID.

Zurück zum Anfang

Erwartete Änderungen des sicheren Zustands

Nach der Wiederherstellung haben nur die folgenden Prinzipale Zugriff auf den DKM-Container:

Kapital	Zugriffsrechte
Domänen-Admins	Generisch: Alle (Vollzugriff)
Organisations-Admins	Generisch: Alle (Vollzugriff)
System	Generisch: Alle (Vollzugriff)
AD FS-Dienstkonto	Lesen, Schreiben, Untergeordnetes Element erstellen, Schreibbesitzer, Baum löschen

Hinweis Die Vererbung ist deaktiviert, und alle geerbten ACEs werden verworfen. Alle anderen expliziten Zulassungs-ACEs, die nicht in der obigen Liste enthalten sind, werden entfernt.

Zurück zum Anfang

Deaktivieren der automatischen Wiederherstellung

Die Korrektur ist standardmäßig aktiviert, wenn "RemediateDkmAcl " fehlt oder auf einen Wert ungleich Null festgelegt wurde. Wenn Sie eine bestimmte Kompatibilitätsanforderung nicht erfüllen müssen, legen Sie den Wert auf jedem AD FS-Server in der Farm auf 0 fest, bevor Sie das Update installieren. Ein Opt-out wird nicht empfohlen, da die DKM-Container-ACL sonst in einem unsicheren Zustand bleibt.

Informationen	Details
Registrierungsschlüssel:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Wert:	RemediateDkmAcl
Typ:	DWORD
Daten:	0

Zurück zum Anfang

Besitzfehler Ereignisfall (Ereignis-ID 1137)

Ereignis-ID: 1137 gibt an, dass AD FS nicht den Besitz des DKM-Containers übernehmen konnte, da das Dienstkonto nicht über die erforderlichen Berechtigungen verfügt. Diese Bedingung wird am häufigsten in Farmen erwartet, die ursprünglich unter Windows Server 2012 oder Windows Server 2012 R2 erstellt wurden. Erteilen Sie in diesem Fall dem AD-FS-Dienstkonto die erforderlichen Berechtigungen, indem Sie die folgenden Schritte auf einem beliebigen AD-FS-Server in der Farm ausführen. Andernfalls schlagen Korrekturversuche weiterhin fehl.

1. Identifizieren Sie den DKM-Container-DN:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Identifizieren Sie das AD FS-Dienstkonto:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Explizite Erteilung expliziter Allow ACEs for WriteOwner and WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Nachdem die erforderlichen Berechtigungen erteilt wurden, gehen Sie wie folgt vor:

   • Bis zu 24 Stunden auf den nächsten Erkennungszyklus warten
   • Starten Sie den AD FS-Dienst neu, um die Problembehebung früher auszulösen

Bei erfolgreicher Wiederherstellung wird die Ereignis-ID: 1135 (Information) mit der vorherigen ACL im SDDL-Format protokolliert.

Zurück zum Anfang

Vorheriges SDDL speichern (empfohlen)

Als Vorsichtsmaßnahme empfehlen wir, die vorherige ACL (SDDL) aus der Ereignis-ID: 510 Einträge zu speichern, die nach erfolgreicher Wiederherstellung mit der Ereignis-ID: 1135 korreliert sind. Ereignis-ID: 1135 enthält die instance-ID, die zur Identifizierung der zugehörigen Ereignis-ID verwendet wird: 510 Einträge. Obwohl die vorherige ACL in den meisten Fällen voraussichtlich nicht benötigt wird (da die ursprünglichen Berechtigungen unsicher waren), bietet ihre Verfügbarkeit ein Sicherheitsnetz für unvorhergesehene Kompatibilitätsprobleme.

Sie können die SDDL manuell aus den Ereignis-ID: 510-Einträgen kopieren und kombinieren, deren Instanz-ID durch die Ereignis-ID 1135 referenziert wird. Verwenden Sie alternativ das folgende PowerShell-Skript, um die korrelierte Ereignis-ID zu erfassen: 510 Einträge, und speichern Sie die SDDL in einer Datei:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

Zurück zum Anfang

Wiederherstellen der vorherigen ACL

Wenn nach der Wiederherstellung Probleme auftreten und Sie zur vorherigen ACL rückgängig machen müssen:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Legen Sie nach der Wiederherstellung auf jedem AD FS-Server in der Farm den Wert "RemediateDkmAcl = 0 " fest, um zu verhindern, dass der Dienst beim nächsten Zyklus erneut aktualisiert wird.

Zurück zum Anfang

Ereignisverweise

Ereignis-ID: 1132 – DKM-Container-ACL erfordert Überprüfung

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Warnung
Ereignisquelle	AD FS
Ereigniskennung	1132
Ereignistext	AD FS hat festgestellt, dass die Container-ACL des verteilten Schlüsselmanagers (Distributed Key Manager, DKM) nicht dem erwarteten sicheren Zustand entspricht. Der DKM-Container speichert symmetrische Schlüssel, die zum Schutz von tokensignierendem Schlüsselmaterial verwendet werden. Container-DN: <DN> Der erwartete sichere Status ist die Vererbung deaktiviert, und nur Domänenadministratoren, Organisationsadministratoren, SYSTEM und das AD FS-Dienstkonto haben Zugriff. AD FS versucht, die ACL automatisch zu korrigieren. Die Korrektur wird sofort und danach alle 24 Stunden ausgeführt, bis die ACL den erwarteten sicheren Zustand erreicht. Das Ergebnis finden Sie in den Ereignissen 1135 (Wiederherstellung erfolgreich) oder 1136/1137 (Fehler bei der Wiederherstellung). Wenn Sie die automatische Wartung deaktivieren möchten, setzen Sie HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) auf 0. Anleitungen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2369796. Zusätzliche Daten Vererbung deaktiviert: <Ja/Nein> Aktuelle ACL (SDDL): Siehe Event 510-Einträge mit Instanz-ID: <Instanz-ID>

Ereignis-ID: 1133 – DKM-Container-ACL ist fehlerfrei

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Informationen
Ereignisquelle	AD FS
Ereigniskennung	1133
Ereignistext	Bei der DKM-ACL-Hintergrundaufgabe wurde die Container-ACL auf Sicherheitshärtung überprüft. Der Container verfügt über die richtigen Einstellungen, und es sind keine weiteren Aktionen erforderlich. Container-DN: <DN>

Ereignis-ID: 1134 – Erkennungsfehler

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Fehler
Ereignisquelle	AD FS
Ereigniskennung	1134
Ereignistext	Bei der Hintergrundaufgabe für die ACL-Überprüfung des AD FS DKM-Containers ist ein Fehler aufgetreten. Container-DN: <DN> Zusätzliche Daten Details zur Ausnahme: <Ausnahme> Benutzeraktion Weitere Informationen finden Sie in den AD FS-Debugprotokollen. Stellen Sie sicher, dass das AD-FS-Dienstkonto Zugriff auf den DKM-Gruppencontainer in Active Directory hat.

Ereignis-ID: 1135 – Wiederherstellung erfolgreich

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Informationen
Ereignisquelle	AD FS
Ereigniskennung	1135
Ereignistext	AD FS hat die Container-ACL des Distributed Key Manager (DKM) erfolgreich gehärtet. Container-DN: <DN> Die Container-ACL gewährt jetzt nur Domänenadministratoren, Organisationsadministratoren, SYSTEM und dem AD FS-Dienstkonto Zugriff. Die Vererbung wurde blockiert, und alle anderen Berechtigungen wurden entfernt. Hinweis: Die automatische Wartung wird nicht erneut ausgeführt, solange die ACL der Baseline entspricht. Wenn Sie die automatische Wartung dauerhaft deaktivieren möchten, auch wenn die ACL in Zukunft abweichungt, setzen Sie HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) auf 0. Die vorherige ACL ist unten im SDDL-Format enthalten. Wenn Sie die ursprünglichen Berechtigungen wiederherstellen müssen, lesen Sie https://go.microsoft.com/fwlink/?linkid=2369796 Zusätzliche Daten Vorherige ACL (SDDL): Siehe Event 510-Einträge mit Instanz-ID: <Instanz-ID>

Ereignis-ID: 1136 – Wiederherstellung fehlgeschlagen

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Fehler
Ereignisquelle	AD FS
Ereigniskennung	1136
Ereignistext	AD FS hat erfolglos versucht, die Container-ACL des verteilten Schlüsselmanagers (Distributed Key Manager, DKM) zu korrigieren. Container-DN: <DN> User ActionAutoremediation versucht es beim nächsten Erkennungszyklus (innerhalb von 24 Stunden). Wenn Sie die ACL lieber manuell korrigieren möchten, überprüfen und korrigieren Sie die ACEs für den DKM-Gruppencontainer. Nur Domänen-Admins, Organisations-Admins, SYSTEM und das AD FS-Dienstkonto sollten Zugriff haben. Um die automatische Wartung zu deaktivieren, legen Sie HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) auf 0 fest. Anleitungen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2369796 Zusätzliche Daten Aktuelle ACL (SDDL) und Ausnahmedetails: Siehe Event 510-Einträge mit Instanz-ID: <Instanz-ID>

Ereignis-ID: 1137 – Fehler bei Besitzeränderung

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Fehler
Ereignisquelle	AD FS
Ereigniskennung	1137
Ereignistext	AD FS hat versucht, die Container-ACL des Distributed Key Manager (DKM) zu korrigieren, konnte aber nicht den Besitz übernehmen, da das AD-FS-Dienstkonto nicht über die erforderlichen Berechtigungen verfügt. Dies wird für Farmen erwartet, die ursprünglich unter Windows Server 2012 oder Windows Server 2012 R2 erstellt wurden. Container-DN: <DN> Benutzeraktion Erteilen Sie dem AD-FS-Dienstkonto die erforderlichen Berechtigungen, damit die Behebung erfolgreich ist. Die automatische Wartung wird beim nächsten Erkennungszyklus (innerhalb von 24 Stunden) oder beim Neustart des Dienstes erneut versucht. Wenn Sie die ACL lieber manuell korrigieren möchten, überprüfen und korrigieren Sie die ACEs für den DKM-Gruppencontainer. Nur Domänen-Admins, Organisations-Admins, SYSTEM und das AD FS-Dienstkonto sollten Zugriff haben. Um die automatische Wartung zu deaktivieren, legen Sie HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) auf 0 fest. Anleitungen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2369796

Ereignis-ID: 510 – Zusätzliche ACL-Informationen

Informationen	Details
Ereignisprotokoll	AD FS/Admin
Ereignistyp	Informationen
Ereignisquelle	AD FS
Ereigniskennung	510
Ereignistext	Weitere Informationen zum Ereigniseintrag mit Instanz-ID <Instanz-ID>. Möglicherweise gibt es weitere Ereignisse mit derselben Instanz-ID mit weiteren Informationen. Instanz-ID: <Instance ID> Details: <ACL oder Ausnahme Detailsegment> Bei großen ACLs können mehrere Einträge mit der Ereignis-ID 510 protokolliert werden. Die zugehörigen Ereignis-IDs 1132, 1135 oder 1136 werden zuerst protokolliert, gefolgt von den Ereignis-ID-Einträgen 510 mit derselben Instanz-ID.

Zurück zum Anfang

Änderungsprotokoll

Datum ändern	Beschreibung ändern
13. Oktober 2026	Umfassende Überarbeitung dieses Artikels für die Version vom 13. Oktober 2026 Die neuen Ereignis-IDs 1137 und 510 wurden im Abschnitt "Ereignisreferenzen" hinzugefügt.

Zurück zum Anfang