CVE-2026-56155: povećanje otpornosti ACL-a spremnika za AD FS Distributed Key Manager

Primjenjuje se na

Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Izvorni datum objave: Srpanj 14, 2026
ID baze znanja: 5121391

Sadržaj članka

Sažetak
Preuzmite stvari u svoje ruke
Očekivane promjene sigurnog stanja
Odustajanje od automatskog popravka
Slučaj događaja kvara vlasništva (ID događaja 1137)
Spremanje prethodnog SDDL-a (preporučeno)
Vraćanje prethodnog ACL-a
Reference događaja
Zapisnik promjena

Sažetak

Popis kontrole pristupa (ACL) na spremniku Distributed Key Manager (DKM) ušao je u prvu fazu povećanja otpornosti sigurnosnim ažuriranjem sustava Windows od 14. srpnja 2026., koje je uvelo automatsko otkrivanje nesigurnih ACL-ova i mehanizam za oporavak pristanka.

Počevši od sigurnosnog ažuriranja sustava Windows od 13. listopada 2026., AD FS automatski popravlja nesigurne ACL-ove spremnika DKM prema zadanim postavkama. Administratori se mogu odjaviti tako da postave RemediateDkmAcl na 0. Ovaj napor povećanja otpornosti rješava povećanje privilegija (EOP) koje može proizaći iz ranjivosti dokumentirane u CVE-2026-56155 | ranjivost zbog prisvajanje prava na Active Directory Federation Services.

Ukratko, Active Directory Federation Services (AD FS) oslanja se na DKM spremnik za pohranu simetričnih ključeva koji se koriste za zaštitu certifikata za potpisivanje tokena i šifriranje tokena za privatne ključeve. Ako je ACL spremnika pretjerano popustljiv, napadač s pristupom za čitanje materijalu DKM ključa može dešifrirati privatne ključeve za potpisivanje tokena.

Povratak na vrh

Preuzmite stvari u svoje ruke

Da biste zaštitili svoje okruženje, učinite sljedeće:

Instalirajte odgovarajuće sigurnosno ažuriranje za Windows objavljeno 13. listopada 2026. ili kasnije na svim poslužiteljima AD FS.

Važno

Prije instaliranja sigurnosnog ažuriranja odredite trebate li odustati od automatskog popravka. Ne preporučuje se odustajanje jer to ostavlja ACL DKM spremnika u nesigurnom stanju.

Ako morate odustati od određenog preduvjeta kompatibilnosti, postavite registar RemediateDkmAcl na 0 na svakom poslužitelju AD FS u farmi prije instaliranja ažuriranja. DKM spremnik jedan je objekt servisa Active Directory koji zajednički koriste svi poslužitelji servisa AD FS u farmi, a pozadinski zadatak DKM ACL-a izvodi se na svakom poslužitelju. Ako RemediateDkmAcl nedostaje ili je postavljen na vrijednost koja nije nula čak i na jednom poslužitelju AD FS, taj poslužitelj može automatski popraviti zajednički ACL spremnika DKM nakon instalacije ažuriranja.

Nakon instalacije servis AD FS nadzire ACL DKM spremnika svaki put kada se servis pokrene i svaka 24 sata nakon toga. Ako ACL nije siguran, AD FS automatski pokušava popraviti problem, osim ako je RemediateDkmAcl postavljen na 0.
Pregledajte zapisnik događaja AD FS Administrator za sljedeće događaje:
- ID događaja: 1133 označava da je ACL spremnika DKM siguran. Nije potrebna nikakva dodatna radnja.
- ID događaja: 1132 označava da je ACL spremnika DKM nesiguran i da će se provesti automatski popravak. Pojedinosti o ACL-u zapisuju se u jedan ili više sljedećih unosa ID-a događaja 510 s istim ID-om instance. Pregledajte ID događaja 1135, 1136 ili 1137 za rezultat popravka i na temelju rezultata poduzmite sljedeće korake.
- ID događaja: 1135 (popravak je uspješan) Nije potrebna nikakva dodatna radnja za popravak. Spremite prethodni ACL iz sljedećih unosa ID-a događaja 510 kao što je opisano u odjeljku Spremanje prethodnog SDDL-a.
- ID događaja: 1136 (popravak nije uspio) Pregledajte sljedeći unos ID-a događaja 510 za trenutne detalje ACL-a i iznimke, ispravite temeljnu pogrešku, a zatim ponovno pokrenite servis AD FS ili pričekajte sljedeći ciklus otkrivanja.
- ID događaja: 1137 (promjena vlasništva nije uspjela) Dodijelite računima servisa AD FS dozvole WriteOwner i WriteDacl slijedeći upute za slučaj događaja pogreške vlasništva, a zatim ponovno pokrenite servis AD FS ili pričekajte sljedeći ciklus otkrivanja.

ACL događaji spremnika AD FS DKM

ID događaja	Vrsta	Značenje
1132	Upozorenje	ACL DKM spremnika ne odgovara očekivanom sigurnom stanju. Pregled popravaka 1135, 1136 i 1137.
1133	Informacije	ACL DKM spremnika je u očekivanom sigurnom stanju. Nije potrebno ništa poduzimati.
1134	Pogreška	Zadatak otkrivanja naišao je na pogrešku (na primjer, pogreška pri povezivanju LDAP). Pregledajte zapisnike ispravljanja pogrešaka u AD FS-u i ispravite temeljnu pogrešku.
1135	Informacije	Popravak ACL-a DKM spremnika uspješno je dovršen. Spremite prethodni SDDL.
1136	Pogreška	Popravak ACL-a DKM spremnika nije uspio. Pregledajte korelirane unose za ID događaja 510 i AD FS Ispravite tragove i ispravite pozadinsku pogrešku.
1137	Pogreška	AD FS nije mogao preuzeti vlasništvo nad spremnikom DKM jer račun servisa nema potrebne dozvole. Dodjela potrebnih dozvola
510	Informacije	Sadrži detalje o ACL-u ili iznimkama koje se prelijevaju iz ID-jeva događaja 1132, 1135 ili 1136. Uparivanje unosa prema ID-u instance.

Povratak na vrh

Očekivane promjene sigurnog stanja

Nakon popravka samo će sljedeći upravitelji imati pristup spremniku DKM:

Glavnica	Prava pristupa
Administratori domena	Generički sve (potpuna kontrola)
administratori u tvrtki	Generički sve (potpuna kontrola)
Sustav	Generički sve (potpuna kontrola)
Račun servisa AD FS	Čitanje, pisanje, stvaranje podređenog, pisanje vlasnika, brisanje stabla

Napomena Nasljeđivanje je onemogućeno i svi naslijeđeni ACE-ovi se odbacuju. Sve ostale eksplicitne dopuštene ACE-ove koje nisu na gornjem popisu uklanjaju se.

Povratak na vrh

Odustajanje od automatskog popravka

Važno

Ovaj odjeljak, postupak ili zadatak sadrži informacije za promjenu registra. Međutim, ako nepravilno promijenite registar, mogli biste uzrokovati ozbiljne probleme. Stoga pazite da pomno slijedite navedene korake. Sigurnosno kopirajte registar prije promjene radi dodatne zaštite. Ako se pojavi problem, moći ćete vratiti registar. Dodatne informacije o sigurnosnom kopiranju i vraćanju registra potražite u članku Sigurnosno kopiranje i vraćanje registra u sustavu Windows.

Popravak je prema zadanim postavkama omogućen kada nema RemediateDkmAcl ili je postavljen na vrijednost koja nije nula. Ako morate odustati od određenog preduvjeta kompatibilnosti, prije instaliranja ažuriranja postavite vrijednost na 0 na svakom poslužitelju za AD FS u farmi. Ne preporučuje se odustajanje jer to ostavlja ACL DKM spremnika u nesigurnom stanju.

Informacije	Detalji
Ključ registra:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Vrijednost:	RemediteDkmAcl
Vrsta:	DWORD
Podaci:	0

Povratak na vrh

Slučaj događaja kvara vlasništva (ID događaja 1137)

ID događaja: 1137 upućuje na to da AD FS nije mogao preuzeti vlasništvo nad spremnikom DKM jer račun servisa nema potrebne dozvole. To se stanje najčešće očekuje na farmama izvorno stvorenima u sustavu Windows Server 2012 ili Windows Server 2012 R2. U tom slučaju dodijelite potrebne dozvole za račun servisa AD FS slijedeći upute u nastavku na bilo kojem poslužitelju servisa AD FS u farmi. U suprotnom pokušaji popravka i dalje neće uspjeti.

Identificirajte DN spremnika DKM:


$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
$dkmContainerDn

Identificirajte račun servisa AD FS:


$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
$serviceAccount

Eksplicitno dopuštanje ACE-ova za WriteOwner i WriteDacl:


$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
$rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
 $sid, 
 ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
 [System.Security.AccessControl.AccessControlType]::Allow, 
 [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
) 
$entry.ObjectSecurity.AddAccessRule($rule) 
$entry.CommitChanges() 
$entry.Close()

Kada se dodijele potrebne dozvole, učinite sljedeće:
- Pričekajte do 24 sata za sljedeći ciklus otkrivanja
- Ponovno pokrenite servis AD FS da biste ranije pokrenuli popravak

Prilikom uspješnog popravka ID događaja: 1135 (Informacije) bilježi se s prethodnim ACL-om u obliku SDDL.

Povratak na vrh

Spremanje prethodnog SDDL-a (preporučeno)

Kao mjeru predostrožnosti preporučujemo spremanje prethodnog ACL-a (SDDL-a) iz ID-a događaja: 510 unosa povezanih s ID-om događaja: 1135 nakon uspješnog popravka. ID događaja: 1135 sadrži ID instance koji se koristi za identifikaciju povezanih stavki ID-a događaja: 510. Iako se ne očekuje da će prethodni ACL biti potreban u većini slučajeva (budući da su izvorne dozvole bile nesigurne), njegova dostupnost pruža sigurnosnu mrežu za sve nepredviđene probleme s kompatibilnošću.

Napomena

Zapisnici događaja mogu se prenijeti zbog ograničenja veličine. Ako vam je u budućnosti potreban prethodni SDDL, a događaj je prebrisan, bit će trajno izgubljen.

SDDL možete ručno kopirati i kombinirati iz ID-a događaja: 510 unosa koji imaju ID instance referenciran ID-om događaja: 1135. Možete i upotrijebiti sljedeću skriptu komponente PowerShell da biste prikupili korelirani unosi ID-a događaja: 510 i spremili SDDL u datoteku:


New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

Povratak na vrh

Vraćanje prethodnog ACL-a

Ako nakon popravka naiđete na probleme i morate se vratiti na prethodni ACL:


# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close()

Napomena

Ova naredba zahtijeva da račun koji je pokreće ima SeSecurityPrivilege (obično ga imaju administratori domene). Pokrenite je putem privilegirane sesije PowerShell na računalu pridruženom domeni.


Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord

Nakon vraćanja postavite RemediateDkmAcl = 0 na svakom poslužitelju AD FS u farmi da biste spriječili ponovni popravak servisa u sljedećem ciklusu.

Povratak na vrh

Reference događaja

ID događaja: 1132 – potreban je pregled ACL-a DKM spremnika

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Upozorenje
Izvor događaja	AD FS
ID događaja	1132
Tekst događaja	AD FS otkrio je da ACL spremnika Distributed Key Manager (DKM) ne odgovara očekivanom sigurnom stanju. DKM spremnik pohranjuje simetrične ključeve koji se koriste za zaštitu materijala ključeva za potpisivanje tokena. DN spremnika: <DN> Očekivano sigurno stanje je onemogućeno nasljeđivanje i pristup imaju samo administratori domene, administratori tvrtke, SYSTEM i račun servisa AD FS. AD FS će pokušati automatski popraviti ACL. Popravak se izvodi odmah i nakon toga svaka 24 sata dok ACL ne dođe do očekivanog sigurnog stanja. Pogledajte događaj 1135 (popravak uspješan) ili događaj 1136/1137 (popravak nije uspio) za ishod. Ako želite odustati od automatskog emediaciranja, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Smjernice potražite u članku https://go.microsoft.com/fwlink/?linkid=2369796. Dodatni podaci Onemogućeno nasljeđivanje: <Da/Ne> Trenutni ACL (SDDL): Pogledajte stavke događaja 510 s ID-om instance: <ID instance>

ID događaja: 1133 – ACL spremnika DKM je u dobrom stanju

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Informacije
Izvor događaja	AD FS
ID događaja	1133
Tekst događaja	Zadatak DKM ACL-a u pozadini pregledao je povećanje sigurnosti ACL-a spremnika. Spremnik ima točne postavke i nije potrebno ništa više poduzeti. DN spremnika: <DN>

ID događaja: 1134 – pogreška otkrivanja

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Pogreška
Izvor događaja	AD FS
ID događaja	1134
Tekst događaja	Zadatak provjere ACL-a spremnika za AD FS DKM u pozadini naišao je na pogrešku. DN spremnika: <DN> Dodatni podaci Pojedinosti o iznimci: <iznimka> Akcija korisnika Pregledajte zapisnike ispravljanja pogrešaka za AD FS za više pojedinosti. Provjerite ima li račun servisa AD FS pristup spremniku grupe DKM u imeničkom servisu Active Directory.

ID događaja: 1135 – popravak je uspio

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Informacije
Izvor događaja	AD FS
ID događaja	1135
Tekst događaja	AD FS uspješno je ojačao ACL spremnika za Distributed Key Manager (DKM). DN spremnika: <DN> ACL spremnika sada omogućuje pristup samo administratorima domene, administratorima tvrtke, sustavu i računu servisa AD FS. Nasljeđivanje je blokirano i sve druge dozvole su uklonjene. Napomena: Samopopravak se neće ponovno pokrenuti dok ACL odgovara osnovi. Ako želite trajno odustati od automatskog medijacije čak i ako ACL u budućnosti zakrene, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Prethodni ACL uvršten je u oblik SDDL u nastavku. Ako morate vratiti izvorne dozvole, pročitajte članak https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podaci Prethodni ACL (SDDL): Pogledajte stavke događaja 510 s ID-om instance: <ID instance>

ID događaja: 1136 – popravak nije uspio

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Pogreška
Izvor događaja	AD FS
ID događaja	1136
Tekst događaja	AD FS pokušao je popraviti ACL spremnika za distribuirani upravitelj ključeva (DKM), ali nije uspio. DN spremnika: <DN> Akcija korisnika Automatski popravak ponovit će se u sljedećem ciklusu otkrivanja (u roku od 24 sata). Ako ACL želite popraviti ručno, pregledajte i ispravite ACE-ove u spremniku grupe DKM. Pristup bi trebali imati samo administratori domene, administratori tvrtke, SYSTEM i račun servisa AD FS. Da biste onemogućili automatsku korektivnost, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Smjernice potražite u članku https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podaci Pojedinosti o trenutnom ACL-u (SDDL-u) i iznimkama: Pogledajte stavke događaja 510 s ID-om instance: <ID instance>

ID događaja: 1137 – Promjena vlasništva nije uspjela

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Pogreška
Izvor događaja	AD FS
ID događaja	1137
Tekst događaja	AD FS pokušao je popraviti ACL spremnika za Distributed Key Manager (DKM), ali nije mogao preuzeti vlasništvo jer račun servisa AD FS nema potrebne dozvole. To se očekuje za farme izvorno stvorene u sustavu Windows Server 2012 ili Windows Server 2012 R2. DN spremnika: <DN> Akcija korisnika Dodijelite potrebne dozvole za račun servisa AD FS da bi popravak bio uspješan. Autopopravak će se ponovno pokušati u sljedećem ciklusu otkrivanja (u roku od 24 sata) ili prilikom ponovnog pokretanja servisa. Ako ACL želite popraviti ručno, pregledajte i ispravite ACE-ove u spremniku grupe DKM. Pristup bi trebali imati samo administratori domene, administratori tvrtke, SYSTEM i račun servisa AD FS. Da biste onemogućili automatsku korektivnost, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Smjernice potražite u članku https://go.microsoft.com/fwlink/?linkid=2369796

ID događaja: 510 – Dodatne informacije o ACL-u

Informacije	Detalji
Zapisnik događaja	AD FS/Administrator
Vrsta događaja	Informacije
Izvor događaja	AD FS
ID događaja	510
Tekst događaja	Dodatne informacije o unosu događaja s ID-om <instance i ID-om instance.> Možda će biti više događaja s istim ID-om instance s više informacija. ID instance: <Instance ID> Pojedinosti: segment s pojedinostima o ACL-u <ili iznimci> Za velike ACL-ove moguće je zabilježiti više unosa s ID-jem 510 događaja. Najprije se bilježi povezani ID događaja 1132, 1135 ili 1136, a zatim unosi za ID događaja 510 s istim ID-om instance.

Povratak na vrh

Zapisnik promjena

Promjena datuma	Opis izmjene
13. listopada 2026.	Opsežno parafraziranje ovog članka za izdanje od 13. listopada 2026. Dodani su novi ID-jevi događaja 1137 i 510 u odjeljak Reference događaja.

Povratak na vrh

CVE-2026-56155: povećanje otpornosti ACL-a spremnika za AD FS Distributed Key Manager

Sadržaj članka

Sažetak

Preuzmite stvari u svoje ruke

Očekivane promjene sigurnog stanja

Odustajanje od automatskog popravka

Slučaj događaja kvara vlasništva (ID događaja 1137)

Spremanje prethodnog SDDL-a (preporučeno)

Vraćanje prethodnog ACL-a

Reference događaja

Zapisnik promjena

Jesu li informacije bile korisne?

Hvala vam na povratnim informacijama!