CVE-2026-56155: AD FS elosztott kulcskezelő tároló ACL-korlátozása

1. A szervizeléshez állítsa a RemediateDkmAcl beállításkulcsot 1 értékre. További információért tekintse meg a Windows Server 2016 és újabb verziókat tárgyaló témakört az Opcionális szervizelési szakaszban.

2. 2026. október 13-ig, ha a beállításkulcs nincs konfigurálva, a frissítés automatikusan szervizeli a nem biztonságos ACL-eket. Az automatikus szervizelésről való lemondáshoz állítsa a beállításkulcsot 0 értékre.

1. Ha engedélyezni szeretné az AD FS szolgáltatásfiók szervizelési engedélyeit, lásd a Windows Server 2012 és a Windows Server 2012 R2 szolgáltatásfiókra vonatkozó engedélyeket a Jóváhagyás szolgáltatás szervizelése című szakaszban.

2. Ezután engedélyezze a szervizelést a RemediateDkmAcl beállításkulcs 1 értékre állításával.

A 2026. júliusi frissítés telepítése után az észlelés automatikusan fut egy perccel az AD FS szolgáltatás elindulása után, majd ezt követően 24 óránként. Ellenőrizze az AD FS/Rendszergazda eseménynaplójában a következő eseményeket.

Megjegyzés Vizsgálati üzemmódban a hozzáférés-vezérlési lista nem módosul automatikusan.

Használja az alábbi platformspecifikus szervizelési útmutatót.

Windows Server 2016 és újabb

Határozottan javasoljuk, hogy a rendszergazdák szervizeljenek a vizsgálati mód alatt a kompatibilitási problémák azonosítása és megoldása érdekében, mielőtt a kényszerítés 2026 októberében megkezdődik. A helyreállítás engedélyezéséhez állítsa be a következő beállításkulcsot a farm AD FS kiszolgálóján .

A beállításkulcs beállítása után tegye az alábbiak egyikét:

• Várjon legfeljebb 24 órát a következő észlelési ciklusra, vagy

• Indítsa újra az AD FS szolgáltatást a szervizelés gyorsabb elindításához

Sikeres hibajavítás esetén a rendszer az 1135-ös eseményt (Információ) az előző ACL-lel naplózza SDDL formátumban.

Windows Server 2012 és Windows Server 2012 R2

Ezeken a platformokon adja meg a szükséges engedélyeket az AD FS szolgáltatásfióknak az alábbi lépéseket követve a farm bármely AD FS-kiszolgálóján , mielőtt engedélyezné a RemediateDkmAcl beállításjegyzéket. Ellenkező esetben a szervizelési kísérletek sikertelenek lesznek.

1. Azonosítsa a DKM tároló DN-jét:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Az AD FS szolgáltatásfiók azonosítása:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. ACE-k engedélyezése explicit módon a WriteOwner és a WriteDacl számára:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. A szükséges engedélyek megadása után állítsa be a következő beállításkulcsot a farm bármely AD FS-kiszolgálóján a szervizelés engedélyezéséhez.

   Információ	Részletek
   Beállításkulcs	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Érték:	RemediateDkmAcl
   Típus:	DWORD
   Adatok:	1
   Megjegyzés:	Ha az "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" nem található, először hozza létre az ADFS kulcsot, majd adja meg a RemediateDkmAcl beállítást a kulcs alatt.

5. A beállításkulcs beállítása után tegye az alábbiak egyikét:

• Várjon legfeljebb 24 órát a következő észlelési ciklusra, vagy

• Indítsa újra az AD FS szolgáltatást a szervizelés gyorsabb elindításához

Sikeres hibajavítás esetén a rendszer az 1135-ös eseményt (Információ) az előző ACL-lel naplózza SDDL formátumban.

Az előző SDDL mentése (ajánlott)

Elővigyázatosságból azt javasoljuk, hogy a sikeres szervizelés után mentse az előző hozzáférés-vezérlési listát (SDDL) a 1135-ös eseményből. Bár az előző hozzáférés-vezérlési listára a legtöbb esetben nincs szükség (mivel az eredeti engedélyek nem voltak biztonságosak), a rendelkezésre állása biztonsági hálót jelent az előre nem látható kompatibilitási problémák esetén.

Megjegyzés Az eseménynaplókat a méretkorlátok miatt áthelyezhetik. Ha a jövőben szüksége lesz az előző SDDL-re, és az eseményt felülírta a rendszer, az végleg elveszik.

Az SDDL mentése fájlba:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

A korábbi hozzáférés-vezérlési lista visszaállítása

Ha problémákat tapasztal a szervizelés után, és vissza kell térnie az előző hozzáférés-vezérlési listához:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Megjegyzés Ehhez a parancshoz az azt futtató fióknak rendelkeznie kell SeSecurityPrivilege jogosultsággal (jellemzően a tartománygazdák rendelkeznek ezzel). Futtassa ezt egy emelt szintű PowerShell-munkamenetből egy tartományhoz csatlakoztatott gépen.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

A visszaállítás után állítsa be a RemediateDkmAcl = 0 értéket, hogy megakadályozza a szolgáltatás újbóli szervizelését a következő ciklusban.

A 2026. októberi frissítéssel kezdődően a szervizelés alapértelmezés szerint a beállításkulcs megadása nélkül fut. A viselkedés egyenértékű azzal, mintha a RemediateDkmAcl = 1 be lenne állítva.

Az érvényesítés automatikus szervizelési módja nem vonatkozik a Windows Server 2012-re és a Windows Server 2012 R2-re. Ezeken a platformokon manuálisan végezze el a szervizelést a Jóváhagyás szervizelési szakasz Windows Server 2012 és Windows Server 2012 R2 című témakörében leírt lépéseket követve.

Ha a 2026. októberi frissítés után le kell tiltania az automatikus szervizelést, állítsa be a RemediateDkmAcl értéket a beállításjegyzékben.

Ezzel kifejezetten letiltja a szervizelést. Az észlelés (1132-es esemény) továbbra is fut, így a rendszergazdák tisztában lehetnek a védetlen állapottal.

Fontos A letiltás sebezhetővé teszi a DKM-tárolót. Csak akkor használja ezt a beállítást, ha konkrét kompatibilitási követelménye van, és az ACL manuális megerősítését tervezi.