CVE-2026-56155: Κοντέινερ AD FS Distributed Key Manager Σκλήρυνση ACL

1. Συναινέστε στην αποκατάσταση ρυθμίζοντας το κλειδί μητρώου RemediateDkmAcl σε 1. Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα Windows Server 2016 και νεότερες εκδόσεις στην ενότητα Opt-in remediation section.

2. Έως τις 13 Οκτωβρίου 2026, εάν το κλειδί μητρώου δεν έχει ρυθμιστεί, η ενημέρωση θα αποκαταστήσει αυτόματα τα μη ασφαλή ACL. Για να εξαιρεθείτε από την αυτόματη αποκατάσταση, ορίστε το κλειδί μητρώου σε 0.

1. Εκχώρηση δικαιωμάτων λογαριασμού υπηρεσίας AD FS για αποκατάσταση, ανατρέξτε στο θέμα Windows Server 2012 και Windows Server 2012 R2 στην ενότητα Επινοητική επανόρθωση.

2. Μετά από αυτό, επιλέξτε να ενεργοποιήσετε την αποκατάσταση ρυθμίζοντας το κλειδί μητρώου RemediateDkmAcl σε 1.

Μετά την εγκατάσταση της ενημέρωσης Ιουλίου 2026, η ανίχνευση εκτελείται αυτόματα ένα λεπτό μετά την εκκίνηση της υπηρεσίας AD FS και, στη συνέχεια, κάθε 24 ώρες στη συνέχεια. Ελέγξτε το αρχείο καταγραφής συμβάντων AD FS/Διαχείριση για τα ακόλουθα συμβάντα.

Σημείωση Δεν γίνονται αυτόματες αλλαγές στο ACL κατά τη λειτουργία ελέγχου.

Χρησιμοποιήστε τις παρακάτω οδηγίες αποκατάστασης για τη συγκεκριμένη πλατφόρμα.

Windows Server 2016 και νεότερες εκδόσεις

Συνιστούμε ιδιαίτερα στους διαχειριστές να αποκαταστήσουν κατά τη φάση της λειτουργίας ελέγχου για να εντοπίσουν και να επιλύσουν τυχόν προβλήματα συμβατότητας πριν από την έναρξη της επιβολής τον Οκτώβριο του 2026. Για να ενεργοποιήσετε την αποκατάσταση, ορίστε το ακόλουθο κλειδί μητρώου σε οποιονδήποτε διακομιστή AD FS στο σύμπλεγμα.

Αφού ορίσετε το κλειδί μητρώου, είτε:

• Περιμένετε έως και 24 ώρες για τον επόμενο κύκλο εντοπισμού ή

• Επανεκκινήστε την υπηρεσία AD FS για να ενεργοποιήσετε την αποκατάσταση νωρίτερα

Κατά την επιτυχή αποκατάσταση, το συμβάν 1135 (Πληροφορίες) καταγράφεται με το προηγούμενο ACL σε μορφή SDDL.

Windows Server 2012 και Windows Server 2012 R2

Για αυτές τις πλατφόρμες, εκχωρήστε τα απαιτούμενα δικαιώματα για το λογαριασμό υπηρεσίας AD FS ακολουθώντας τα παρακάτω βήματα σε οποιονδήποτε μεμονωμένο διακομιστή AD FS στο σύμπλεγμα, πριν να ενεργοποιήσετε το μητρώο RemediateDkmACL . Διαφορετικά, οι προσπάθειες αποκατάστασης εύρυθμης λειτουργίας θα αποτύχουν.

1. Προσδιορίστε το κοντέινερ DKM DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Προσδιορίστε τον λογαριασμό υπηρεσίας AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Παραχώρηση ρητών Allow ACEs για WriteOwner και WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Αφού εκχωρηθούν τα απαιτούμενα δικαιώματα, ορίστε το ακόλουθο κλειδί μητρώου σε οποιονδήποτε μεμονωμένο διακομιστή AD FS στο σύμπλεγμα για να ενεργοποιήσετε την αποκατάσταση.

   Πληροφορίες	Λεπτομέρειες
   Κλειδί μητρώου	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Τιμή:	RemediateDkmAcl
   Τύπος:	DWORD
   Δεδομένα:	1
   Σημείωση	Αν δεν υπάρχει "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS", δημιουργήστε πρώτα το κλειδί "ADFS" και, στη συνέχεια, ορίστε το RemediateDkmAcl κάτω από αυτό το κλειδί.

5. Αφού ορίσετε το κλειδί μητρώου, είτε:

• Περιμένετε έως και 24 ώρες για τον επόμενο κύκλο εντοπισμού ή

• Επανεκκινήστε την υπηρεσία AD FS για να ενεργοποιήσετε την αποκατάσταση νωρίτερα

Κατά την επιτυχή αποκατάσταση, το συμβάν 1135 (Πληροφορίες) καταγράφεται με το προηγούμενο ACL σε μορφή SDDL.

Αποθήκευση του προηγούμενου SDDL (Προτείνεται)

Ως προληπτικό μέτρο, συνιστούμε να αποθηκεύσετε το προηγούμενο ACL (SDDL) από το συμβάν 1135 μετά την επιτυχή αποκατάσταση. Ενώ το προηγούμενο ACL δεν αναμένεται να χρειαστεί στις περισσότερες περιπτώσεις (δεδομένου ότι τα αρχικά δικαιώματα δεν ήταν ασφαλή), η διαθεσιμότητα του παρέχει ένα δίχτυ ασφαλείας για τυχόν απρόβλεπτα ζητήματα συμβατότητας.

Σημείωση Τα αρχεία καταγραφής συμβάντων μπορούν να μετακινηθούν λόγω ορίων μεγέθους. Εάν χρειάζεστε το προηγούμενο SDDL στο μέλλον και το συμβάν έχει αντικατασταθεί, θα χαθεί οριστικά.

Για να αποθηκεύσετε το SDDL σε ένα αρχείο:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Πώς να επαναφέρετε το προηγούμενο ACL

Εάν αντιμετωπίζετε προβλήματα μετά την αποκατάσταση και πρέπει να επιστρέψετε στο προηγούμενο ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Σημείωση Αυτή η εντολή απαιτεί ο λογαριασμός που την εκτελεί να έχει SeSecurityPrivilege (συνήθως το έχουν και οι διαχειριστές τομέα). Εκτελέστε αυτή τη δυνατότητα από μια περίοδο λειτουργίας PowerShell με αναβαθμισμένα δικαιώματα σε έναν υπολογιστή που είναι συνδεδεμένος σε τομέα.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Μετά την επαναφορά, ρυθμίστε το RemediateDkmAcl = 0 για να αποτρέψετε την αποκατάσταση της υπηρεσίας στον επόμενο κύκλο.

Ξεκινώντας από την ενημέρωση Οκτωβρίου 2026, η αποκατάσταση εκτελείται από προεπιλογή χωρίς να απαιτείται το κλειδί μητρώου. Η συμπεριφορά είναι ισοδύναμη με το σύνολο RemediateDkmAcl = 1 .

Η αυτόματη αποκατάσταση επιβολής δεν ισχύει για το Windows Server 2012 ή το Windows Server 2012 R2. Για αυτές τις πλατφόρμες, κάντε αποκατάσταση με μη αυτόματο τρόπο, ακολουθώντας τα βήματα στο θέμα Windows Server 2012 και Windows Server 2012 R2 στην ενότητα Συγκατάθεση αποκατάστασης εύρυθμης λειτουργίας.

Αν πρέπει να απενεργοποιήσετε την αυτόματη αποκατάσταση μετά την ενημέρωση του Οκτωβρίου 2026, ορίστε την τιμή RemediateDkmAcl στο μητρώο.

Αυτό απενεργοποιεί ρητά την αποκατάσταση. Ο εντοπισμός (συμβάν 1132) συνεχίζει να ενεργοποιείται, ώστε οι διαχειριστές να γνωρίζουν την επισφαλή κατάσταση.

Σημαντικό Η εξαίρεση αφήνει το κοντέινερ DKM ευάλωτο. Χρησιμοποιήστε αυτήν τη δυνατότητα μόνο αν έχετε μια συγκεκριμένη απαίτηση συμβατότητας και σκοπεύετε να σκληρύνετε με μη αυτόματο τρόπο το ACL.