CVE-2026-56155: AD FS Distributed Key Manager -säilön käyttöoikeusluettelon koventuminen

1. Hyväksy korjaus määrittämällä RemediateDkmAcl-rekisteriavaimen arvoksi 1. Lisätietoja on Windows Server 2016:ta ja uudempia versioita käsittelevässä ohjeaiheessa Suostumuskorjaus -osassa.

2. Jos rekisteriavainta ei ole määritetty, päivitys korjaa turvattomat käyttöoikeusluettelot automaattisesti 13. lokakuuta 2026 mennessä. Jos haluat estää automaattisen korjauksen, määritä rekisteriavaimen arvoksi 0.

1. AD FS -palvelutilin käyttöoikeuksien myöntäminen korjausta varten on Windows Server 2012:n ja Windows Server 2012 R2:n ohjeaiheen Suostumuskorjaus-osassa.

2. Siirry sen jälkeen korjaukseen määrittämällä RemediateDkmAcl-rekisteriavaimen arvoksi 1.

Heinäkuun 2026 päivityksen asentamisen jälkeen tunnistus suoritetaan automaattisesti minuutin kuluttua AD FS -palvelun käynnistymisestä ja sen jälkeen 24 tunnin välein. Tarkista, onko AD FS/Hallinta -tapahtumalokissa seuraavat tapahtumat.

Huomautus Käyttöoikeusluetteloon ei tehdä automaattisesti muutoksia tarkistustilan aikana.

Käytä alla olevia alustakohtaisia korjausohjeita.

Windows Server 2016 ja uudemmat versiot

Suosittelemme, että järjestelmänvalvojat korjaavat valvontatilan aikana mahdolliset yhteensopivuusongelmat tunnistaakseen ja ratkaistakseen ne ennen kuin käyttöönotto alkaa lokakuussa 2026. Voit ottaa korjauksen käyttöön määrittämällä seuraavan rekisteriavaimen mille tahansa klusterin AD FS -palvelimelle .

Kun olet määrittänyt rekisteriavaimen, toimi seuraavasti:

• Odota seuraavaa tunnistusjaksoa 24 tuntia tai

• Käynnistä AD FS -palvelu uudelleen, jotta korjaus käynnistyy nopeammin

Kun korjaus onnistuu, tapahtuma 1135 (Tiedot) kirjataan edellisen käyttöoikeusluettelon kanssa SDDL-muodossa.

Windows Server 2012 ja Windows Server 2012 R2

Myönnä näissä ympäristöissä AD FS -palvelutilille tarvittavat käyttöoikeudet noudattamalla alla olevia ohjeita millä tahansa klusterin AD FS -palvelimella ennen RemediateDkmAcl-rekisterin ottamista käyttöön. Muussa tapauksessa korjausyritykset epäonnistuvat.

1. Tunnista DKM-säilön DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Määritä AD FS -palvelutili:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Grant explicit Allow ACEs for WriteOwner- ja WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Kun tarvittavat käyttöoikeudet on myönnetty, ota korjaus käyttöön määrittämällä seuraava rekisteriavain missä tahansa klusterin AD FS -palvelimessa.

   Tiedot	Lisätietoja
   Rekisteriavain	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Arvo:	RemediateDkmAcl
   Tyyppi:	DWORD
   Data:	1
   Huomautus:	Jos HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS ei ole, luo ensin ADFS-avain ja määritä sitten RemediateDkmAcl tämän avaimen alle.

5. Kun olet määrittänyt rekisteriavaimen, toimi seuraavasti:

• Odota seuraavaa tunnistusjaksoa 24 tuntia tai

• Käynnistä AD FS -palvelu uudelleen, jotta korjaus käynnistyy nopeammin

Kun korjaus onnistuu, tapahtuma 1135 (Tiedot) kirjataan edellisen käyttöoikeusluettelon kanssa SDDL-muodossa.

Edellisen SDDL:n tallentaminen (suositus)

Varotoimenpiteenä suosittelemme, että tallennat edellisen käyttöoikeusluettelon (SDDL) tapahtumasta 1135 onnistuneen korjauksen jälkeen. Vaikka aiempaa käyttöoikeusluetteloa ei odoteta olevan tarpeen useimmissa tapauksissa (koska alkuperäiset käyttöoikeudet olivat suojaamattomia), sen saatavuus toimii turvaverkkona odottamattomien yhteensopivuusongelmien varalta.

Huomautus Tapahtumalokit voivat siirtyä kokorajoitusten vuoksi. Jos tarvitset aiempaa SDDL:ää tulevaisuudessa ja tapahtuma on korvattu, se menetetään pysyvästi.

SDDL:n tallentaminen tiedostoon:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Edellisen käyttöoikeusluettelon palauttaminen

Jos kohtaat ongelmia korjauksen jälkeen ja sinun on palautettava aiempi käyttöoikeusluettelo:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Huomautus Tämä komento edellyttää, että sitä suorittavalla tilillä on SeSecurityPrivilege (yleensä toimialueen järjestelmänvalvojilla on tämä). Suorita tämä laajennetusta PowerShell-istunnosta toimialueeseen liitetyssä koneessa.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Määritä palautuksen jälkeen RemediateDkmAcl = 0 estämään palvelun korjaaminen uudelleen seuraavassa jaksossa.

Lokakuun 2026 päivityksestä alkaen korjaus suoritetaan oletusarvoisesti ilman rekisteriavainta. Toiminta vastaa sitä, että RemediateDkmAcl = 1 olisi asetettu.

Pakotuksen automaattinen korjaus ei koske Windows Server 2012:ta tai Windows Server 2012 R2:ta. Näissä käyttöympäristöissä korjaus on suoritettava manuaalisesti noudattamalla ohjeita Windows Server 2012:n ja Windows Server 2012 R2:n ohjeaiheissa Suostumuksen korjaaminen -kohdassa.

Jos haluat poistaa automaattisen korjauksen käytöstä lokakuun 2026 päivityksen jälkeen, määritä RemediateDkmAcl-arvo rekisterissä.

Tämä poistaa korjauksen käytöstä. Tunnistus (tapahtuma 1132) käynnistyy edelleen, joten järjestelmänvalvojat ovat tietoisia suojaamattomasta tilasta.

Tärkeää Jos kieltäydyt osallistumisesta, DKM-säilö on haavoittuvainen. Käytä tätä vaihtoehtoa vain, jos sinulla on jokin tietty yhteensopivuusvaatimus ja aiot vahvistaa käyttöoikeusluettelon manuaalisesti.