CVE-2026-56155: povećanje otpornosti ACL-a spremnika za AD FS Distributed Key Manager

1. Omogućite oporavak postavljanjem ključa registra RemediateDkmAcl na 1. Dodatne informacije potražite u odjeljku Windows Server 2016 i novijim temama u odjeljku o sudjelovanju popravka.

2. Ako ključ registra nije konfiguriran, ažuriranje će do 13. listopada 2026. automatski popraviti nesigurne ACL-ove. Da biste odustali od automatskog popravka, postavite ključ registra na 0.

1. Dodjela dozvola računu servisa AD FS radi popravka potražite u temama o sustavima Windows Server 2012 i Windows Server 2012 R2 u odjeljkuo sudjelovanju.

2. Nakon toga uključite se u popravak postavljanjem ključa registra RemediateDkmAcl na 1.

Nakon instalacije ažuriranja za srpanj 2026. otkrivanje se automatski pokreće minutu nakon pokretanja servisa AD FS, a zatim svaka 24 sata nakon toga. U zapisniku događaja AD FS/Administrator provjerite ima li sljedećih događaja.

Napomena Tijekom nadzornog načina na ACL-u se ne unose automatske promjene.

Upotrijebite upute za popravak specifične za platformu u nastavku.

Windows Server 2016 i novije verzije

Strogo preporučujemo da administratori to poprave tijekom faze nadzornog načina kako bi identificirali i riješili probleme s kompatibilnošću prije nego što provedba počne u listopadu 2026. Da biste omogućili popravak, postavite sljedeći ključ registra na bilo kojem poslužitelju AD FS u farmi.

Nakon postavljanja ključa registra, učinite sljedeće:

• pričekajte do 24 sata do sljedećeg ciklusa otkrivanja ili

• Ponovno pokrenite servis AD FS da biste ranije pokrenuli popravak

Nakon uspješnog popravka događaj 1135 (Informacije) bilježi se s prethodnim ACL-om u obliku SDDL.

Windows Server 2012 i Windows Server 2012 R2

Za te platforme dodijelite potrebne dozvole za račun servisa AD FS tako da slijedite korake u nastavku na bilo kojem poslužitelju za AD FS u farmi prije omogućivanja registra RemediateDkmAcl . U suprotnom pokušaji popravka neće uspjeti.

1. Identificirajte DN spremnika DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificirajte račun servisa AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Eksplicitno dopuštanje ACE-ova za WriteOwner i WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Kada se dodijele potrebne dozvole, postavite sljedeći ključ registra na bilo kojem poslužitelju za AD FS u farmi da biste omogućili popravak.

   Informacije	Detalji
   Registarski ključ	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Vrijednost:	RemediteDkmAcl
   Vrsta:	DWORD
   Podaci:	1
   Napomena	Ako "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" nije prisutan, najprije stvorite ključ "ADFS", a zatim postavite RemediateDkmAcl ispod tog ključa.

5. Nakon postavljanja ključa registra, učinite sljedeće:

• pričekajte do 24 sata do sljedećeg ciklusa otkrivanja ili

• Ponovno pokrenite servis AD FS da biste ranije pokrenuli popravak

Nakon uspješnog popravka događaj 1135 (Informacije) bilježi se s prethodnim ACL-om u obliku SDDL.

Spremanje prethodnog SDDL-a (preporučeno)

Kao mjeru predostrožnosti preporučujemo spremanje prethodnog ACL-a (SDDL-a) iz događaja 1135 nakon uspješnog popravka. Iako se ne očekuje da će prethodni ACL biti potreban u većini slučajeva (budući da su izvorne dozvole bile nesigurne), njegova dostupnost pruža sigurnosnu mrežu za sve nepredviđene probleme s kompatibilnošću.

Napomena Zapisnici događaja mogu se prenijeti zbog ograničenja veličine. Ako vam je u budućnosti potreban prethodni SDDL, a događaj je prebrisan, bit će trajno izgubljen.

Da biste SDDL spremili u datoteku:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Vraćanje prethodnog ACL-a

Ako nakon popravka naiđete na probleme i morate se vratiti na prethodni ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Napomena Ova naredba zahtijeva da račun koji je pokreće ima SeSecurityPrivilege (obično ga imaju administratori domene). Pokrenite je putem privilegirane sesije PowerShell na računalu pridruženom domeni.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Nakon vraćanja postavite RemediateDkmAcl = 0 da biste spriječili ponovni popravak servisa u sljedećem ciklusu.

Počevši od ažuriranja za listopad 2026., popravak se prema zadanim postavkama izvršava bez potrebe za ključem registra. To ponašanje odgovara postavljanju RemediateDkmAcl = 1 .

Automatsko ispravljanje problema s provedbom ne odnosi se na Windows Server 2012 i Windows Server 2012 R2. Na tim platformama popravak provedite ručno prema uputama u temama Windows Server 2012 i Windows Server 2012 R2 u odjeljkuo sudjelovanju pri ispravku problema.

Ako nakon ažuriranja iz listopada 2026. trebate onemogućiti automatski popravak, postavite vrijednost RemediateDkmAcl u registru.

Time se izričito onemogućuje popravak. Otkrivanje (događaj 1132) nastavlja se aktivirati pa su administratori svjesni nesigurnog stanja.

Važno Odustajanje ostavlja vaš DKM spremnik ranjivim. Ovu mogućnost koristite samo ako imate određene preduvjete kompatibilnosti i planirate ručno ojačati ACL.