CVE-2026-56155: גורם מכיל של מנהל מפתחות מבוזר של AD FS הקשחת ACL

1. בחר להצטרף לתיקון על-ידי הגדרת מפתח הרישום RemediateDkmAcl ל- 1. עיין בנושא של Windows Server 2016 ואילך במקטע תיקון הסכמת הצטרפות לקבלת מידע נוסף.

2. עד 13 באוקטובר 2026, אם מפתח הרישום לא יוגדר, העדכון יתקן באופן אוטומטי רשימות בקרת גישה לא מאובטחות. כדי לבטל את ההצטרפות לתיקון אוטומטי, הגדר את מפתח הרישום ל- 0.

1. הענק הרשאות לחשבון שירות AD FS לתיקון, עיין בנושא Windows Server 2012 ו- Windows Server 2012 R2 במקטע תיקון הסכמת הצטרפות.

2. לאחר מכן, הצטרף לתיקון על-ידי הגדרת מפתח הרישום RemediateDkmAcl ל- 1.

לאחר התקנת העדכון של יולי 2026, הזיהוי מופעל באופן אוטומטי דקה אחת לאחר הפעלת שירות AD FS ולאחר מכן כל 24 שעות לאחר מכן. בדוק ביומן האירועים של AD FS/מרכז הניהול את האירועים הבאים.

הערה לא מתבצעים שינויים אוטומטיים ב-ACL במהלך מצב ביקורת.

השתמש בהנחיות התיקון הספציפיות לפלטפורמה שלהלן.

Windows Server 2016 ואילך

אנו ממליצים מאוד למנהלי מערכת לתקן במהלך שלב מצב הביקורת כדי לזהות ולפתור בעיות תאימות לפני תחילת האכיפה באוקטובר 2026. כדי לאפשר תיקון, הגדר את מפתח הרישום הבא בכל שרת AD FS בחווה.

לאחר הגדרת מפתח הרישום, בצע אחת מהפעולות הבאות:

• המתן עד 24 שעות עד למחזור הזיהוי הבא, או

• הפעל מחדש את שירות AD FS כדי להפעיל תיקון מוקדם יותר

בתיקון מוצלח, אירוע 1135 (מידע) נרשם עם ה-ACL הקודם בתבנית SDDL.

Windows Server 2012 ו- Windows Server 2012 R2

עבור פלטפורמות אלה, הענק את ההרשאות הדרושות לחשבון השירות של AD FS על-ידי ביצוע השלבים הבאים בכל שרת AD FS בחווה לפני הפיכת הרישום RemediateDkmAcl לזמין. אחרת, ניסיונות התיקון ייכשלו.

1. זהה את ה-DN של גורם המכיל DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. זהה את חשבון השירות של AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. הענק במפורש אפשר ACEs עבור WriteOwner ו-WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. לאחר הענקת ההרשאות הנדרשות, הגדר את מפתח הרישום הבא בכל שרת AD FS בחווה כדי לאפשר תיקון.

   מידע	פרטים
   מפתח רישום	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   ערך:	RemediateDkmAcl
   סוג:	DWORD
   נתונים:	1
   הערה	אם "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" לא קיים, צור תחילה את מפתח "ADFS" ולאחר מכן הגדר את RemediateDkmAcl תחת מפתח זה.

5. לאחר הגדרת מפתח הרישום, בצע אחת מהפעולות הבאות:

• המתן עד 24 שעות עד למחזור הזיהוי הבא, או

• הפעל מחדש את שירות AD FS כדי להפעיל תיקון מוקדם יותר

בתיקון מוצלח, אירוע 1135 (מידע) נרשם עם ה-ACL הקודם בתבנית SDDL.

שמירת ה- SDDL הקודם (מומלץ)

כאמצעי זהירות, מומלץ לשמור את ה-ACL הקודם (SDDL) מאירוע 1135 לאחר תיקון מוצלח. בעוד שה-ACL הקודם לא צפוי להיות נחוץ ברוב המקרים (מכיוון שההרשאות המקוריות לא היו מאובטחות), זמינותו מספקת רשת ביטחון לכל בעיות תאימות בלתי צפויות.

הערה יומני אירועים עשויים להתגלגל עקב מגבלות גודל. אם תזדקק ל- SDDL הקודם בעתיד והאירוע הוחלף, הוא יאבד לצמיתות.

כדי לשמור את ה- SDDL בקובץ:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

כיצד לשחזר את ACL הקודם

אם אתה נתקל בבעיות לאחר התיקון ועליך לחזור ל- ACL הקודם:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

הערה פקודה זו דורשת שהחשבון המפעיל אותה יהיה בעל SeSecurityPrivilege (בדרך כלל למנהלי תחומים יש את זה). הפעל זאת מהפעלת PowerShell עם הרשאות מלאות במחשב המצורף לתחום.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

לאחר השחזור, הגדר את RemediateDkmAcl = 0 כדי למנוע מהשירות תיקון מחדש במחזור הבא.

החל מעדכון אוקטובר 2026, התיקון פועל כברירת מחדל ללא צורך במפתח הרישום. אופן הפעולה שווה ערך להגדרה של RemediateDkmAcl = 1 .

התיקון האוטומטי של האכיפה אינו חל על Windows Server 2012 או על Windows Server 2012 R2. עבור פלטפורמות אלה, תקן באופן ידני על-ידי ביצוע השלבים בנושא Windows Server 2012 ו- Windows Server 2012 R2 במקטע תיקון הסכמת הצטרפות.

אם עליך להפוך את התיקון האוטומטי ללא זמין לאחר העדכון של אוקטובר 2026, הגדר את הערך RemediateDkmAcl ברישום.

זה מבטל במפורש את התיקון. הזיהוי (אירוע 1132) ממשיך לפעול, כך שמנהלי המערכת מודעים למצב הלא מאובטח.

חשוב ביטול ההצטרפות משאיר את מיכל ה-DKM שלך פגיע. השתמש באפשרות זו רק אם יש לך דרישת תאימות ספציפית ואתה מתכנן להקשיח ידנית את ACL.