CVE-2026-56155: AD FS Distributed Key Manager -säilön käyttöoikeusluettelon koventuminen

Alkuperäinen julkaisupäivä: Heinäkuu 14, 2026
KB-tunnus: 5121391

Artikkelin sisältö

• Yhteenveto
• Toimi
• Odotetut suojauksen tilan muutokset
• Automaattisen korjauksen poistaminen käytöstä
• Omistajuuden virhetapahtumatapaus (tapahtumatunnus 1137)
• Edellisen SDDL:n tallentaminen (suositus)
• Edellisen käyttöoikeusluettelon palauttaminen
• Tapahtumaviittaukset
• Muutosloki

Yhteenveto

Distributed Key Manager (DKM) -säilön käyttöoikeuksien hallinta (ACL) siirtyi ensimmäiseen rajoitusvaiheeseensa 14. heinäkuuta 2026 julkaistussa Windowsin suojauspäivityksessä, joka otti käyttöön suojaamattomien käyttöoikeusluetteloiden automaattisen tunnistuksen ja suostumuskorjausmekanismin.

13. lokakuuta 2026 Windowsin suojauspäivityksestä alkaen AD FS korjaa suojaamattomat DKM-säilön käyttöoikeusluettelot automaattisesti oletusarvoisesti. Järjestelmänvalvojat voivat jättäytyä pois käytöstä määrittämällä RemediateDkmAcl-kohteeksi0. Tämä rajoituspyrkimys koskee käyttöoikeuksien korottamista (EOP), joka voi johtua haavoittuvuudesta, joka on dokumentoitu artikkelissa CVE-2026-56155 | Active Directory -liittoutumispalvelut käyttöoikeuksien korottamisen haavoittuvuus.

Yhteenvetona voidaan todeta, että Active Directory -liittoutumispalvelut (AD FS) luottavat DKM-säilöön symmetristen avainten tallentamiseen, joita käytetään tunnusten allekirjoituksen ja yksityisten avainten salausvarmenteiden suojaamiseen. Jos säilön käyttöoikeusluettelo on liian salliva, hyökkääjä, jolla on lukuoikeus DKM-avainaineistoon, voi purkaa tunnuksen allekirjoituksen yksityisten avainten salauksen.

alkuun

Toimi

Voit suojata ympäristöäsi seuraavasti:

1. Asenna 13. lokakuuta 2026 tai sen jälkeen julkaistu Windowsin suojauspäivitys kaikkiin AD FS -palvelimiin.

2. Asennuksen jälkeen AD FS -palvelu tarkistaa DKM-säilön käyttöoikeusluettelon aina, kun palvelu käynnistyy, ja sen jälkeen 24 tunnin välein. Jos käyttöoikeusluettelo on suojaamaton, AD FS yrittää korjata sen automaattisesti, ellei RemediateDkmAcl-asetuksen arvoksi ole määritetty 0.

3. Tarkastele AD FS -Hallinta-tapahtumalokissa seuraavia tapahtumia:

   • Tapahtumatunnus: 1133 ilmaisee, että DKM-säilön käyttöoikeusluettelo on suojattu. Toimenpiteitä ei tarvita.

   • Tapahtumatunnus: 1132 ilmaisee, että DKM-säilön käyttöoikeusluettelo on suojaamaton ja että automaattinen korjaus suoritetaan. Käyttöoikeusluettelon tiedot kirjoitetaan vähintään yhteen myöhempään tapahtumatunnuksen 510 tapahtumaan, jolla on sama esiintymätunnus. Tarkista korjaustuloksen tapahtumatunnukset 1135, 1136 tai 1137 ja toimi tuloksen perusteella seuraavasti.

   • Tapahtuman tunnus: 1135 (korjaus onnistui) Muita korjaustoimia ei tarvita. Tallenna edellinen käyttöoikeusluettelo seuraavista tapahtumatunnuksen 510 merkinnöistä Tallenna edellinen SDDL -osiossa kuvatulla tavalla.

   • Tapahtuman tunnus: 1136 (korjaus epäonnistui) Tarkista seuraavat tapahtumatunnuksen 510 merkinnät nykyisen käyttöoikeusluettelon ja poikkeustietojen osalta, korjaa taustalla oleva virhe ja käynnistä AD FS -palvelu uudelleen tai odota seuraavaa tunnistusjaksoa.

   • Tapahtumatunnus: 1137 (omistajuuden muutos epäonnistui) Myönnä AD FS -palvelutilille WriteOwner- ja WriteDacl-käyttöoikeudet noudattamalla omistajuusvirhetapahtuman tapauksen ohjeita ja käynnistä sitten AD FS -palvelu uudelleen tai odota seuraavaa tunnistusjaksoa.

AD FS DKM -säilön käyttöoikeusluettelotapahtumat

Tapahtumatunnus	Tyyppi	Merkitys
1132	Varoitus	DKM-säilön käyttöoikeusluettelo ei vastaa odotettua suojaustilaa. Tarkista korjaustapahtumat 1135, 1136 ja 1137.
1133	Tiedot	DKM-säilön käyttöoikeusluettelo on odotetussa suojaustilassa. Toimenpiteitä ei tarvita.
1134	Virhe	Tunnistustehtävässä ilmeni virhe (kuten LDAP-yhteysvirhe). Tarkastele AD FS -virheenkorjauslokeja ja korjaa perustana oleva virhe.
1135	Tiedot	DKM-säilön käyttöoikeusluettelon korjaus on suoritettu onnistuneesti. Tallenna aiempi SDDL.
1136	Virhe	DKM-säilön käyttöoikeusluettelon korjaus epäonnistui. Tarkista korreloidut tapahtumatunnuksen 510 merkinnät ja AD FS -virheenkorjausjäljet ja korjaa taustalla oleva virhe.
1137	Virhe	AD FS ei voinut ottaa DKM-säilön omistajuutta, koska palvelutilillä ei ole tarvittavia käyttöoikeuksia. Tarvittavien käyttöoikeuksien myöntäminen
510	Tiedot	Sisältää käyttöoikeusluettelon tai poikkeustiedot, jotka vuotavat yli tapahtumatunnuksista 1132, 1135 tai 1136. Täsmää merkinnät esiintymätunnuksen perusteella.

alkuun

Odotetut suojauksen tilan muutokset

Korjauksen jälkeen vain seuraavat pääkäyttäjät voivat käyttää DKM-säilöä:

Lainan pääoma	Käyttöoikeudet
Toimialueen järjestelmänvalvojat	Yleiset kaikki (täydet oikeudet)
Yrityksen järjestelmänvalvojat	Yleiset kaikki (täydet oikeudet)
Järjestelmä	Yleiset kaikki (täydet oikeudet)
AD FS -palvelutili	Luku, kirjoittaminen, alikohteen luominen, omistajan kirjoittaminen, puun poistaminen

Huomautus Periytyminen on poistettu käytöstä ja kaikki perityt käyttöoikeuskeskukset hylätään. Kaikki muut eksplisiittiset Salli käyttöoikeuskeskukset, joita ei ole yllä olevassa luettelossa, poistetaan.

alkuun

Automaattisen korjauksen poistaminen käytöstä

Korjaus on oletusarvoisesti käytössä, kun RemediateDkmAcl puuttuu tai sen arvo on asetettu muuksi kuin nollaksi. Jos sinun on jättäytyttävä tiettyjen yhteensopivuusvaatimusten ulkopuolelle, määritä arvoksi 0 klusterin kaikissa AD FS -palvelimissa ennen päivityksen asentamista. Ulkopuolelle jättäytymistä ei suositella, koska tällöin DKM-säilön käyttöoikeusluettelo jää suojaamattomaan tilaan.

Tiedot	Lisätietoja
Rekisteriavain:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Arvo:	RemediateDkmAcl
Tyyppi:	DWORD
Data:	0

alkuun

Omistajuuden virhetapahtumatapaus (tapahtumatunnus 1137)

Tapahtumatunnus: 1137 ilmaisee, että AD FS ei voinut ottaa DKM-säilön omistajuutta, koska palvelutilillä ei ole tarvittavia käyttöoikeuksia. Tämä tilanne on havaittavissa useimmiten klustereissa, jotka on alun perin luotu Windows Server 2012:ssa tai Windows Server 2012 R2:ssa. Myönnä tässä tapauksessa AD FS -palvelutilille tarvittavat käyttöoikeudet noudattamalla alla olevia ohjeita millä tahansa klusterin AD FS -palvelimella . Muussa tapauksessa korjausyritykset epäonnistuvat edelleen.

1. Tunnista DKM-säilön DN:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Määritä AD FS -palvelutili:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Grant explicit Allow ACEs for WriteOwner- ja WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Kun tarvittavat käyttöoikeudet on myönnetty, toimi seuraavasti:

   • Odota jopa 24 tuntia seuraavaa tunnistusjaksoa
   • Käynnistä AD FS -palvelu uudelleen, jotta korjaus käynnistyy nopeammin

Kun korjaus on onnistunut, tapahtumatunnus 1135 (tiedot) kirjataan edellisen käyttöoikeusluettelon kanssa SDDL-muodossa.

alkuun

Edellisen SDDL:n tallentaminen (suositus)

Varotoimenpiteenä suosittelemme tallentamaan aiemman käyttöoikeusluettelon (SDDL) tapahtumatunnuksesta: 510, joka korreloi tapahtumatunnuksen 1135 kanssa, onnistuneen korjauksen jälkeen. Tapahtumatunnus: 1135 sisältää esiintymän tunnuksen, jota käytetään asiaan liittyvän tapahtumatunnuksen tunnistamiseen: 510 merkintää. Vaikka aiempaa käyttöoikeusluetteloa ei odoteta olevan tarpeen useimmissa tapauksissa (koska alkuperäiset käyttöoikeudet olivat suojaamattomia), sen saatavuus toimii turvaverkkona odottamattomien yhteensopivuusongelmien varalta.

Voit manuaalisesti kopioida ja yhdistää SDDL:n tapahtumatunnuksesta: 510 -merkinnästä, jonka esiintymätunnus on tapahtumatunnus 1135. Vaihtoehtoisesti voit seuraavan PowerShell-komentosarjan avulla kerätä korreloidun tapahtuman tunnuksen: 510 merkintää ja tallentaa SDDL-koodin tiedostoksi:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

alkuun

Edellisen käyttöoikeusluettelon palauttaminen

Jos kohtaat ongelmia korjauksen jälkeen ja sinun on palautettava aiempi käyttöoikeusluettelo:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Määritä palautuksen jälkeen RemediateDkmAcl = 0 klusterin jokaisessa AD FS -palvelimessa, jotta palvelua ei korjata uudelleen seuraavassa jaksossa.

alkuun

Tapahtumaviittaukset

Tapahtumatunnus: 1132 – DKM-säilön käyttöoikeusluettelo vaatii tarkistuksen

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Varoitus
Tapahtumalähde	AD FS
Tapahtumatunnus	1132
Tapahtuman teksti	AD FS havaitsi, että Distributed Key Managerin (DKM) säilön käyttöoikeusluettelo ei vastaa odotettua suojaustilaa. DKM-säilö tallentaa symmetriset avaimet, joita käytetään tunnuksen allekirjoituksen avainmateriaalin suojaamiseen. Säilön DN: <DN> Odotettu suojaustila on periytyminen poistettu käytöstä, ja vain toimialueen järjestelmänvalvojilla, yrityksen järjestelmänvalvojilla, JÄRJESTELMÄLLÄ ja AD FS -palvelutilillä on käyttöoikeus. AD FS yrittää korjata käyttöoikeusluettelon automaattisesti. Korjaus suoritetaan välittömästi ja sen jälkeen 24 tunnin välein, kunnes käyttöoikeusluettelo vastaa odotettua suojattua tilaa. Katso lopputuloksesta tapahtuma 1135 (korjaus onnistui) tai tapahtuma 1136/1137 (korjaus epäonnistui). Jos haluat kieltäytyä automaattisesta korjauksesta, määritä HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) -arvoksi 0. Ohjeita on kohdassa https://go.microsoft.com/fwlink/?linkid=2369796. Lisätietoja Periytyminen poistettu käytöstä: <Kyllä/Ei> Nykyinen käyttöoikeusluettelo (SDDL): Katso tapahtuman 510 tapahtumaa esiintymätunnuksella: <Esiintymän tunnus>

Tapahtumatunnus: 1133 – DKM-säilön käyttöoikeusluettelo on kunnossa

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Tiedot
Tapahtumalähde	AD FS
Tapahtumatunnus	1133
Tapahtuman teksti	DKM ACL taustatehtävässä tarkistettiin säilön käyttöoikeusluettelo suojauskovennusta varten. Säilössä on oikeat asetukset, eikä muita toimia tarvita. Säilön DN: <DN>

Tapahtuman tunnus: 1134 – Tunnistusvirhe

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Virhe
Tapahtumalähde	AD FS
Tapahtumatunnus	1134
Tapahtuman teksti	AD FS DKM -säilön käyttöoikeusluettelon taustan tarkistuksessa tapahtui virhe. Säilön DN: <DN> Lisätietoja Poikkeuksen tiedot: <poikkeus> käyttäjän toiminta Katso lisätietoja AD FS -virheenkorjauslokeista. Varmista, että AD FS -palvelutilillä on käyttöoikeus DKM-ryhmän säilöön Active Directoryssa.

Tapahtumatunnus: 1135 – Korjaus onnistui

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Tiedot
Tapahtumalähde	AD FS
Tapahtumatunnus	1135
Tapahtuman teksti	AD FS on onnistuneesti koventanut Distributed Key Manager (DKM) -säilön käyttöoikeusluettelon. Säilön DN: <DN> Säilön käyttöoikeusluettelo myöntää nyt käyttöoikeuden vain toimialueen järjestelmänvalvojille, yrityksen järjestelmänvalvojille, SYSTEM- ja AD FS -palvelutileille. Periytyminen on estetty ja kaikki muut käyttöoikeudet on poistettu. Huomautus: Automaattista korjausta ei suoriteta uudelleen, kun käyttöoikeusluettelo vastaa perusaikataulua. Jos haluat kieltäytyä automaattisesta korjauksesta pysyvästi, vaikka käyttöoikeusluettelo muuttuisi tulevaisuudessa, määritä HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) -parametrin arvoksi 0. Edellinen käyttöoikeusluettelo on alla olevassa SDDL-muodossa. Jos haluat palauttaa alkuperäiset käyttöoikeudet, katso https://go.microsoft.com/fwlink/?linkid=2369796 Lisätietoja Aikaisempi käyttöoikeusluettelo (SDDL): Katso tapahtuman 510 tapahtumaa esiintymätunnuksella: <Esiintymän tunnus>

Tapahtumatunnus: 1136 – Korjaus epäonnistui

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Virhe
Tapahtumalähde	AD FS
Tapahtumatunnus	1136
Tapahtuman teksti	AD FS yritti korjata Distributed Key Manager (DKM) -säilön käyttöoikeusluetteloa, mutta se epäonnistui. Säilön DN: <DN> User ActionAutoremediation yrittää uudelleen seuraavassa tunnistusjaksossa (24 tunnin sisällä). Jos haluat korjata käyttöoikeusluettelon manuaalisesti, tarkista ja korjaa DKM-ryhmäsäilön käyttöoikeuspäivitykset. Vain toimialueen järjestelmänvalvojilla, yrityksen järjestelmänvalvojilla, SYSTEM-järjestelmänvalvojalla ja AD FS -palvelutilillä pitäisi olla käyttöoikeus. Jos haluat poistaa automaattisen korjauksen käytöstä, määritä HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) -asetukseksi 0. Löydät ohjeita artikkelista https://go.microsoft.com/fwlink/?linkid=2369796 Lisätietoja Nykyinen käyttöoikeusluettelo (SDDL) ja poikkeustiedot: Katso tapahtuman 510 tapahtumaa esiintymätunnuksella: <Esiintymän tunnus>

Tapahtumatunnus: 1137 – Omistajanvaihdoksen epäonnistuminen

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Virhe
Tapahtumalähde	AD FS
Tapahtumatunnus	1137
Tapahtuman teksti	AD FS yritti korjata Distributed Key Manager (DKM) -säilön käyttöoikeusluettelon, mutta ei voinut ottaa omistajuutta, koska AD FS -palvelutilillä ei ole tarvittavia käyttöoikeuksia. Tämä on odotettavissa klustereissa, jotka on alun perin luotu Windows Server 2012:ssa tai Windows Server 2012 R2:ssa. Säilön DN: <DN> käyttäjän toiminta Myönnä AD FS -palvelutilille tarvittavat käyttöoikeudet, jotta korjaus onnistuu. Automaattinen korjaus yrittää uudelleen seuraavassa tunnistusjaksossa (24 tunnin sisällä) tai palvelun uudelleenkäynnistyksen yhteydessä. Jos haluat korjata käyttöoikeusluettelon manuaalisesti, tarkista ja korjaa DKM-ryhmäsäilön käyttöoikeuspäivitykset. Vain toimialueen järjestelmänvalvojilla, yrityksen järjestelmänvalvojilla, SYSTEM-järjestelmänvalvojalla ja AD FS -palvelutilillä pitäisi olla käyttöoikeus. Jos haluat poistaa automaattisen korjauksen käytöstä, määritä HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) -asetukseksi 0. Löydät ohjeita artikkelista https://go.microsoft.com/fwlink/?linkid=2369796

Tapahtumatunnus: 510 – Lisätietoja käyttöoikeusluettelosta

Tiedot	Lisätietoja
Tapahtumaloki	AD FS/Hallinta
Tapahtumatyyppi	Tiedot
Tapahtumalähde	AD FS
Tapahtumatunnus	510
Tapahtuman teksti	Lisätietoja tapahtumamerkinnästä, jossa on esiintymän tunnus <Esiintymän tunnus.> Samalla esiintymätunnuksella voi olla useampia tapahtumia, joissa on lisätietoja. Esiintymätunnus: <Esiintymän tunnus> Tiedot: <käyttöoikeusluettelo tai poikkeustietojen segmentti> Suurien käyttöoikeusluetteloiden osalta voidaan kirjata useita tapahtumatunnuksen 510 merkintöjä. Ensin kirjataan liittyvä tapahtumatunnus 1132, 1135 tai 1136, jonka jälkeen tulevat tapahtumatunnuksen 510 tapahtumat, joilla on sama esiintymätunnus.

alkuun

Muutosloki

Muuta päivämäärää	Muutoksen kuvaus
13. lokakuuta 2026	Tämän artikkelin laaja uudelleenkirjoitus 13. lokakuuta 2026 -julkaisua varten Lisätty uudet tapahtumatunnukset 1137 ja 510 Tapahtumaviittaukset-osaan.

alkuun