CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening

Avaldamise algne kuupäev: 14. juuli 2026
KB ID: 5121391

Selle artikli teemad

• Kokkuvõte
• Olge aktiivne
• Eeldatavad turvalised olekumuudatused
• Automaatsest parandamisest loobumine
• Omandiõiguse nurjumise sündmuse juhtum (sündmuse ID 1137)
• Eelmise SDDL-i salvestamine (soovitatav)
• Eelmise ACL-i taastamine
• Sündmuseviited
• Muudatuste logi

Kokkuvõte

Hajusvõtme halduri (DKM) ümbrise pääsuloend (ACL) sisenes oma esimesse kõvastusetappi 14. juuli 2026 Windowsi turbevärskendusega, mis võttis kasutusele ebaturvaliste ACL-ide automaatse tuvastamise ja nõustumise parandusmehhanismi.

Alates 13. oktoobrist 2026 windowsi turbevärskendusega parandab AD FS vaikimisi automaatselt ebaturvalisi DKM-ümbrise ACL-e. Administraatorid saavad sellest loobuda, määrates RemediateDkmAcl-i väärtuseks 0. See raskendav töö lahendab õiguste tõstmist (EOP), mis võib tuleneda CVE-2026-56155 haavatavusest | Active Directory Federation Services õiguste laiendamise nõrkus.

Kokkuvõttes toetub Active Directory Federation Services (AD FS) DKM-i ümbrisele, et talletada sümmeetrilised võtmed, mida kasutatakse privaatvõtmete lubade allkirjastamise ja lubade krüptimise sertide kaitsmiseks. Kui konteineri ACL on üleliia lubatav, saab ründaja, kellel on lugemisjuurdepääs DKM võtme materjalile, dekrüptida loa allkirjastamise privaatvõtmed.

tagasi üles

Olge aktiivne

Oma keskkonna kaitsmiseks tehke järgmist.

1. Installige kõigisse AD FS-i serveritesse sobiv Windowsi turbevärskendus, mis on välja antud 13. oktoobril 2026 või hiljem.

2. Pärast installimist auditeerib AD FS teenus DKM ümbrise ACL-i iga kord, kui teenus käivitub, ja seejärel iga 24 tunni tagant. Kui ACL on ebaturvaline, proovib AD FS parandust automaatselt, kui RemediateDkmAcl pole seatud väärtuseks 0.

3. Vaadake läbi järgmiste sündmuste AD FS-i Haldus sündmustelogi.

   • Sündmuse ID: 1133 näitab, et DKM-i ümbrise ACL on turvaline. Rohkem pole vaja midagi ette võtta.

   • Sündmuse ID: 1132 näitab, et DKM-i ümbrise ACL on ebaturvaline ja tehakse automaatne parandus. ACL-i üksikasjad kirjutatakse ühte või mitmesse järgmisesse sündmuse ID 510 kirjesse, millel on sama eksemplari ID. Vaadake parandustulemuse saamiseks läbi sündmuse ID-d 1135, 1136 või 1137 ja tehke tulemuse põhjal järgmine toiming.

   • Sündmuse ID: 1135 (parandus õnnestus) Rohkem parandustoiminguid pole vaja teha. Salvestage eelmine ACL järgnevatest sündmuse ID 510 kirjetest, nagu on kirjeldatud jaotises Eelmise SDDL-i salvestamine.

   • Sündmuse ID: 1136 (parandus nurjus) Vaadake läbi järgmised praeguse ACL-i ja erandi üksikasjade sündmuse ID 510 kirjed, parandage aluseks olev tõrge ja seejärel taaskäivitage AD FS-i teenus või oodake järgmist tuvastamistsüklit.

   • Sündmuse ID: 1137 (omaniku muutmine nurjus) Andke AD FS-i teenusekontole WriteOwner ja WriteDacl õigused, järgides omandiõiguse tõrkejuhtumi juhiseid, ja seejärel taaskäivitage AD FS-i teenus või oodake järgmist tuvastamistsüklit.

AD FS DKM ümbrise ACL-i sündmused

Sündmuse ID	Tippige arvuti otsinguväljale	Tähendus
1132	Hoiatus	DKM ümbrise ACL ei vasta eeldatud turvalisele olekule. Vaadake läbi parandussündmused 1135, 1136 ja 1137.
1133	Teave	DKM ümbrise ACL on eeldatavas turvalises olekus. Midagi pole vaja teha.
1134	Tõrge	Tuvastamistoimingus ilmnes tõrge (nt LDAP-ühenduse tõrge). Vaadake läbi AD FS-i silumislogid ja parandage aluseks olev tõrge.
1135	Teave	DKM ümbrise ACL-i parandus on lõpule viidud. Salvestage eelmine SDDL.
1136	Tõrge	DKM ümbrise ACL-i kõrvaldamine nurjus. Vaadake üle korrelatsiooniga seotud sündmuse ID 510 kirjed ja AD FS-i silumisjälgimised ning parandage aluseks olev tõrge.
1137	Tõrge	AD FS ei saanud DKM-i ümbrise omandiõigust võtta, kuna teenusekontol puuduvad nõutavad õigused. Vajalike õiguste andmine
510	Teave	Sisaldab ACL-i või erandi üksikasju, mis voolavad üle sündmuse ID-dest 1132, 1135 või 1136. Vastenda kirjed eksemplari ID järgi.

tagasi üles

Eeldatavad turvalised olekumuudatused

Pärast parandust on DKM-i ümbrisele juurdepääs ainult järgmistel subjektidel:

Põhisumma	Pääsuõigused
Domeeniadministraatorid	Üldine kõik (täielik kasutusõigus)
Ettevõtte administraatorid	Üldine kõik (täielik kasutusõigus)
Süsteem	Üldine kõik (täielik kasutusõigus)
AD FS-i teenusekonto	Lugemine, kirjutamine, lapse loomine, omaniku kirjutamine, puu kustutamine

Märkus Pärimine on keelatud ja kõik päritud ACE-d hüljatakse. Kõik muud otsesed luba aCL-id, mis pole ülaltoodud loendis, eemaldatakse.

tagasi üles

Automaatsest parandamisest loobumine

Parandus on vaikimisi lubatud, kui RemediateDkmAcl puudub või kui selle väärtuseks on seatud nullist nullist suurem väärtus. Kui peate konkreetsest ühilduvusnõudest loobuma, määrake enne värskenduse installimist väärtus 0 pargi igas AD FS-i serveris. Loobumine pole soovitatav, kuna see jätab DKM-i ümbrise ACL-i ebaturvalisse olekusse.

Teave	Üksikasjad
Registrivõti:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Väärtus:	RemediateDkmAcl
Tüüp:	DWORD
Andmed.	0

tagasi üles

Omandiõiguse nurjumise sündmuse juhtum (sündmuse ID 1137)

Sündmuse ID: 1137 näitab, et AD FS ei saanud DKM-i ümbrise omandiõigust võtta, kuna teenusekontol puuduvad nõutavad õigused. Seda tingimust eeldatakse kõige sagedamini serveriparkides, mis loodi algselt Windows Server 2012 või Windows Server 2012 R2. Sel juhul andke nõutavad õigused AD FS-i teenusekontole, järgides alltoodud juhiseid ühes pargi AD FS-serveris . Vastasel juhul nurjuvad paranduskatsed.

1. Tuvastage DKM-i ümbrise DN:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Tuvastage AD FS-i teenusekonto:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Luba kirjutuskaubikule ja WriteDacl-ile otsene luba ACE-sid:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Pärast nõutavate õiguste andmist tehke järgmist.

   • Oodake kuni 24 tundi, kuni järgmine tuvastustsükkel
   • Taaskäivitage AD FS-i teenus, et parandust varem käivitada

Eduka parandamise korral logitakse sündmuse ID: 1135 (teave) eelmise ACL-iga SDDL-vormingus.

tagasi üles

Eelmise SDDL-i salvestamine (soovitatav)

Ettevaatusabinõuna soovitame salvestada eelmise ACL-i (SDDL) sündmuse ID-st: 510 kirjet, mis on seotud sündmuse ID-ga: 1135 pärast edukat kõrvaldamist. Sündmuse ID: 1135 sisaldab eksemplari ID-t, mida kasutatakse seotud sündmuse ID tuvastamiseks: 510 kirjet. Kuigi eelmist ACL-i ei ole enamikul juhtudel vaja (kuna algsed õigused olid ebaturvaline), pakub selle kättesaadavus turvavõrku ettenägematute ühilduvusprobleemide korral.

SDDL-i saate käsitsi kopeerida ja kombineerida sündmuse ID-st: 510 kirjest, millele on sündmuse ID-ga 1135 viidatud eksemplari ID. Teise võimalusena saate korrelatsiooni sündmuse ID kogumiseks kasutada järgmist PowerShelli skripti: 510 kirjet ja salvestada SDDL-i faili.

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

tagasi üles

Eelmise ACL-i taastamine

Kui teil tekib pärast parandust probleeme ja teil on vaja taastada eelmine ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Pärast taastamist määrake RemediateDkmAcl = 0 kõigis pargi AD FS-i serverites, et vältida teenuse parandamist järgmises tsüklis.

tagasi üles

Sündmuseviited

Sündmuse ID: 1132 – DKM-i ümbrise ACL nõuab läbivaatust

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Hoiatus
Sündmuse allikas	AD FS
Sündmuse ID	1132
Sündmuse tekst	AD FS tuvastas, et hajusvõtme halduri (DKM) ümbrise ACL ei vasta eeldatud turvalisele olekule. DKM-ümbris talletab sümmeetrilisi võtmeid, mida kasutatakse loaallkirjastamise võtmematerjali kaitsmiseks. Ümbrise DN: <DN> Eeldatav turvaline olek on pärimine keelatud ja juurdepääs on ainult domeeniadministraatoritel, ettevõtte administraatoritel, SÜSTEEMIl ja AD FS-i teenusekontol. AD FS proovib ACL-i automaatselt heastada. Parandus toimub kohe ja seejärel iga 24 tunni järel, kuni ACL vastab eeldatavale turvalisele olekule. Tulemuse leiate sündmusest 1135 (parandamine õnnestus) või sündmusest 1136/1137 (parandamine nurjus). Kui soovite automaatparandusest loobuda, määrake HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) väärtuseks 0. Juhised leiate teemast https://go.microsoft.com/fwlink/?linkid=2369796. Lisaandmed Pärimine on keelatud: <jah/ei> Praegune ACL (SDDL): Kuva sündmuse 510 kirjed eksemplari ID-ga: <Eksemplari ID>

Sündmuse ID: 1133 – DKM ümbrise ACL on korras

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Teave
Sündmuse allikas	AD FS
Sündmuse ID	1133
Sündmuse tekst	DKM ACL-i taustatoiminguga vaadati üle ümbris ACL turvalisuse tugevnemiseks. Ümbrisel on õiged sätted ja rohkem pole vaja midagi teha. Ümbrise DN: <DN>

Sündmuse ID: 1134 – tuvastamistõrge

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Tõrge
Sündmuse allikas	AD FS
Sündmuse ID	1134
Sündmuse tekst	AD FS DKM-i ümbrise ACL-i kontrolli taustatoimingus ilmnes tõrge. Ümbrise DN: <DN> Lisaandmed Erandi üksikasjad: <erand> Kasutajatoiming Lisateabe saamiseks vaadake läbi AD FS-i silumislogid. Veenduge, et AD FS-i teenusekontol oleks juurdepääs Active Directory DKM-i rühma ümbrisele.

Sündmuse ID: 1135 – parandus õnnestus

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Teave
Sündmuse allikas	AD FS
Sündmuse ID	1135
Sündmuse tekst	AD FS successfully hardened the Distributed Key Manager (DKM) container ACL. Ümbrise DN: <DN> Ümbrise ACL annab nüüd juurdepääsu ainult domeeniadministraatoritele, ettevõtteadministraatoritele, SÜSTEEMIle ja AD FS-i teenusekontole. Pärimine on blokeeritud ja kõik muud õigused on eemaldatud. Märkus. Automaatparandust ei käivitata uuesti, kui ACL vastab alusjoonele. Kui soovite automaatsest parandamisest jäädavalt loobuda ka siis, kui ACL tulevikus triivib, määrake sätte HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) väärtuseks 0. Eelmine ACL on kaasatud allolevasse SDDL-vormingusse. Kui teil on vaja algsed õigused taastada, lugege artiklit https://go.microsoft.com/fwlink/?linkid=2369796 Lisaandmed Eelmine ACL (SDDL): Kuva sündmuse 510 kirjed eksemplari ID-ga: <Eksemplari ID>

Sündmuse ID: 1136 – parandus nurjus

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Tõrge
Sündmuse allikas	AD FS
Sündmuse ID	1136
Sündmuse tekst	AD FS proovis hajusvõtme halduri (DKM) ümbrise ACL-i taastada, kuid nurjus. Ümbrise DN: <DN> Kasutaja actionAutoremediation proovib järgmisel tuvastamistsüklil uuesti (24 tunni jooksul). Kui eelistate ACL-i käsitsi parandada, vaadake üle ja parandage ACL-id DKM rühma ümbrises. Juurdepääs peaks olema ainult domeeniadministraatoritel, ettevõtteadministraatoritel, SÜSTEEMIl ja AD FS-i teenusekontol. Automaatparanduse keelamiseks määrake HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) väärtuseks 0. Juhised leiate teemast https://go.microsoft.com/fwlink/?linkid=2369796 Lisaandmed Praegune ACL (SDDL) ja erandi üksikasjad: Kuva sündmuse 510 kirjed eksemplari ID-ga: <Eksemplari ID>

Sündmuse ID: 1137 – omanikumuudatuse tõrge

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Tõrge
Sündmuse allikas	AD FS
Sündmuse ID	1137
Sündmuse tekst	AD FS proovis parandama Distributed Key Manageri (DKM) ümbrise ACL-i, kuid ei saanud omandiõigust võtta, kuna AD FS-i teenuse kontol pole vajalikke õigusi. See kehtib algselt Windows Server 2012 või Windows Server 2012 R2 loodud parkide kohta. Ümbrise DN: <DN> Kasutajatoiming AD FS-i teenusekontole vajalike õiguste andmine paranduse õnnestumiseks. Automaatparandust proovitakse uuesti järgmise tuvastamistsükli jooksul (24 tunni jooksul) või teenuse taaskäivitamisel. Kui eelistate ACL-i käsitsi parandada, vaadake üle ja parandage ACL-id DKM rühma ümbrises. Juurdepääs peaks olema ainult domeeniadministraatoritel, ettevõtteadministraatoritel, SÜSTEEMIl ja AD FS-i teenusekontol. Automaatparanduse keelamiseks määrake HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) väärtuseks 0. Juhised leiate teemast https://go.microsoft.com/fwlink/?linkid=2369796

Sündmuse ID: 510 – täiendav ACL-i teave

Teave	Üksikasjad
Sündmuselogi	AD FS/Haldus
Sündmuse tüüp	Teave
Sündmuse allikas	AD FS
Sündmuse ID	510
Sündmuse tekst	Lisateave sündmusekirje kohta eksemplari ID-ga . Rohkem sündmusi, millel on sama eksemplari ID ja rohkem teavet. Eksemplari ID: <Eksemplari ID> Üksikasjad: <ACL või erandi üksikasjasegment> Suurte ACL-ide puhul saab logida mitu sündmuse ID-ga 510 kirjet. Seotud sündmuse ID 1132, 1135 või 1136 logitakse esmalt, millele järgnevad sama eksemplari ID-ga sündmuse ID 510 kirjed.

tagasi üles

Muudatuste logi

Muuda kuupäeva	Muuda kirjeldust
13. oktoober 2026	Selle artikli ulatuslik ümberkirjutamine 13. oktoobri 2026. aasta väljalaske jaoks Lisati jaotisse Sündmuse viited uued sündmuse ID-d 1137 ja 510.

tagasi üles