CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening

1. Paranduse lubamiseks määrake registrivõtme RemediateDkmAcl väärtuseks 1. Lisateavet leiate Windows Server 2016 ja uuemate teemade jaotisest Nõustumine.

2. Kui registrivõti pole konfigureeritud, parandab värskendus 13. oktoobriks 2026 automaatselt ebaturvalisi ACL-e. Automaatsest parandamisest loobumiseks määrake registrivõtme väärtuseks 0.

1. AD FS-i teenusekonto õiguste andmine parandamise kohta leiate jaotisest "Nõustumine parandamine" teema Windows Server 2012 ja Windows Server 2012 R2 kohta.

2. Seejärel valige parandus, määrates registrivõtme RemediateDkmAcl väärtuseks 1.

Pärast 2026. aasta juuli värskenduse installimist käivitub tuvastamine automaatselt üks minut pärast AD FS-i teenuse käivitumist ja seejärel iga 24 tunni järel. Kontrollige järgmiste sündmuste AD FS-i/Haldus sündmuselogi.

Märkus ACL-i ei tehta auditirežiimi ajal automaatselt.

Kasutage allpool platvormikohaseid parandusjuhiseid.

Windows Server 2016 ja uuemad versioonid

Soovitame tungivalt, et administraatorid parandaksid auditirežiimi faasis ühilduvusprobleemid enne jõustamise alustamist 2026. aasta oktoobris. Paranduse lubamiseks määrake pargi mis tahes AD FS-i serveris järgmine registrivõti.

Pärast registrivõtme määramist tehke järgmist.

• Oodake kuni 24 tundi, kuni järgmine tuvastustsükkel on valitud, või

• Taaskäivitage AD FS-i teenus, et parandust varem käivitada

Eduka parandamise korral logitakse sündmus 1135 (teave) eelmise ACL-iga SDDL-vormingus.

Windows Server 2012 ja Windows Server 2012 R2

Nende platvormide jaoks andke vajalikud õigused AD FS-i teenusekontole, järgides alltoodud juhiseid pargi mis tahes AD FS-serveris enne , kui lubate RemediateDkmAcli registri. Vastasel juhul paranduskatsed nurjuvad.

1. Tuvastage DKM-i ümbrise DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Tuvastage AD FS-i teenusekonto:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Luba kirjutuskaubikule ja WriteDacl-ile otsene luba ACE-sid:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Pärast nõutavate õiguste andmist määrake paranduse lubamiseks pargi mis tahes AD FS-i serveris järgmine registrivõti.

   Teave	Üksikasjad
   Registrivõti	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Väärtus:	RemediateDkmAcl
   Tüüp:	DWORD
   Andmed.	1
   Märkus	Kui "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" pole olemas, looge esmalt klahv "ADFS" ja seejärel määrake selle võtme alla RemediateDkmAcl .

5. Pärast registrivõtme määramist tehke järgmist.

• Oodake kuni 24 tundi, kuni järgmine tuvastustsükkel on valitud, või

• Taaskäivitage AD FS-i teenus, et parandust varem käivitada

Eduka parandamise korral logitakse sündmus 1135 (teave) eelmise ACL-iga SDDL-vormingus.

Eelmise SDDL-i salvestamine (soovitatav)

Ettevaatusabinõuna soovitame salvestada eelmise ACL-i (SDDL) sündmusest 1135 pärast edukat kõrvaldamist. Kuigi eelmist ACL-i ei ole enamikul juhtudel vaja (kuna algsed õigused olid ebaturvaline), pakub selle kättesaadavus turvavõrku ettenägematute ühilduvusprobleemide korral.

Märkus Sündmuselogid võivad mahupiirangute tõttu üle minna. Kui vajate eelmist SDDL-i tulevikus ja sündmus on üle kirjutatud, läheb see jäädavalt kaotsi.

SDDL-i salvestamiseks faili tehke järgmist.

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Eelmise ACL-i taastamine

Kui teil tekib pärast parandust probleeme ja teil on vaja taastada eelmine ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Märkus Selle käsu kasutamiseks peab kontot käitama SeSecurityPrivilege (tavaliselt on see domeeniadministraatoritel). Käivitage see ülemaõigustes PowerShelli seansi abil domeeniga ühendatud arvutis.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Pärast taastamist määrake RemediateDkmAcl = 0 , et teenus ei saaks järgmises tsüklis uuesti parandada.

Alates 2026. aasta oktoobri värskendusest töötab parandus vaikimisi ilma registrivõtit nõudmata. See käitumine on samaväärne väärtusega RemediateDkmAcl = 1 seadmine.

Jõustamise automaatparandus ei kehti Windows Server 2012 või Windows Server 2012 R2 kohta. Nende platvormide korral parandage need käsitsi, järgides jaotises Nõustumine parandus teemas Windows Server 2012 ja Windows Server 2012 R2 toodud juhiseid.

Kui soovite automaatse parandamise pärast 2026. aasta oktoobri värskendust keelata, määrake registris väärtus RemediateDkmAcl .

See keelab konkreetselt parandamise. Tuvastamine (sündmus 1132) jätkab käivitumist, et administraatorid oleksid ebaturvalisest olekust teadlikud.

Tähtis Loobumine jätab teie DKM-ümbrise haavatavaks. Kasutage seda ainult juhul, kui teil on konkreetne ühilduvusnõue ja plaanite ACL-i käsitsi kõvandada.