CVE-2026-56155: AD FS elosztott kulcskezelő tároló ACL-korlátozása

Eredeti közzétételi dátum: 2026. július 14.
KB-azonosító: 5121391

Tartalom

• Összegzés
• Vágjon bele
• A biztonságos állapot várható változásai
• Az automatikus szervizelésről való lemondás
• Tulajdonjogi hiba eseményesete (1137-es azonosítójú esemény)
• Az előző SDDL mentése (ajánlott)
• A korábbi hozzáférés-vezérlési lista visszaállítása
• Események hivatkozásai
• Módosítási napló

Összegzés

Az Distributed Key Manager (DKM) tárolón lévő Access Control List (ACL) a 2026. július 14-i Windows biztonsági frissítéssel lépett be az első korlátozási fázisba, amely bevezette a nem biztonságos ACL-ek automatikus észlelését és egy jóváhagyásra használható szervizelési mechanizmust.

A Windows 2026. október 13-i biztonsági frissítésétől kezdődően AD FS alapértelmezés szerint automatikusan szervizeli a nem biztonságos DKM-tároló ACL-eket. A rendszergazdák a RemediateDkmAcl0 értékre állításával tilthatják le a letiltást. Ez a szigorítási erőfeszítés a jogosultságok kiterjesztésével (EOP) foglalkozik, amely a CVE-2026-56155 | Active Directory összevonási szolgáltatások (AD FS) jogosultságszint-emelést lehetővé tevő biztonsági rés.

Összefoglalva: az Active Directory összevonási szolgáltatások (AD FS) (AD FS) a DKM-tárolóra támaszkodik a titkos kulcsok jogkivonat-aláírási és jogkivonat-titkosítási tanúsítványainak védelméhez használt szimmetrikus kulcsok tárolásához. Ha a tároló hozzáférési vezérlési vezérlése túlságosan megengedő, a DKM-kulcs anyagához olvasási hozzáféréssel rendelkező támadó visszafejtheti a jogkivonatot aláíró titkos kulcsokat.

a lap tetejére

Vágjon bele

A környezet védelme érdekében végezze el a következő lépéseket:

1. Telepítse a 2026. október 13-án vagy azt követően kiadott megfelelő Windows biztonsági frissítést az összes AD FS-kiszolgálón.

2. A telepítés után az AD FS szolgáltatás a szolgáltatás minden indításakor, majd azt követően 24 óránként ellenőrzi a DKM-tároló hozzáférés-vezérlési listát. Ha az ACL nem biztonságos, az AD FS automatikusan megkísérli a szervizelést, kivéve, ha a RemediateDkmAcl0 értékre van állítva.

3. Tekintse át az AD FS Rendszergazda eseménynaplójában a következő eseményeket:

   • Eseményazonosító: 1133 azt jelzi, hogy a DKM-tároló hozzáférés-vezérlési lista biztonságos. Nincs további teendő.

   • Eseményazonosító: 1132 azt jelzi, hogy a DKM tároló hozzáférés-vezérlési lista nem biztonságos, és automatikus szervizelést fog végezni. Az ACL-részletek egy vagy több egymásutáni, azonos példányazonosítóval rendelkező eseményazonosítóba kerülnek. Ellenőrizze a 1135-ös, 1136-os vagy 1137-es eseményazonosítójú szervizelés eredményét, és az eredmény alapján végezze el az alábbi műveletet.

   • Eseményazonosító: 1135 (a szervizelés sikerült) Nincs szükség további szervizelési műveletre. Mentse az előző hozzáférés-vezérlési listát a következő 510-es eseményazonosítójú bejegyzésekből Az előző SDDL mentése című szakaszban leírtak szerint.

   • Eseményazonosító: 1136 (sikertelen szervizelés) Tekintse át a további 510-es azonosítójú bejegyzésekben az aktuális hozzáférés-vezérlési lista és kivételek részleteit, javítsa ki a mögöttes hibát, majd indítsa újra az AD FS szolgáltatást, vagy várja meg a következő észlelési ciklust.

   • Eseményazonosító: 1137 (a tulajdonosváltás sikertelen) Adja meg az AD FS szolgáltatásfióknak a WriteOwner és a WriteDacl engedélyeket a tulajdonosi hiba esemény esetére vonatkozó útmutatást követve, majd indítsa újra az AD FS szolgáltatást, vagy várja meg a következő észlelési ciklust.

AD FS DKM tároló ACL-események

Eseményazonosító	Típus:	Jelentés
1132	Figyelmeztetés	A DKM-tároló ACL nem felel meg a várt biztonságos állapotnak. Tekintse át az 1135-ös, 1136-os és 1137-es hibajavítási eseményeket.
1133	Információ	A DKM-tároló ACL a várt biztonságos állapotban van. Nincs teendő.
1134	Hiba	Az észlelési feladat hibát (például LDAP-csatlakozási hibát) észlelt. Tekintse át az AD FS hibakeresési naplóit, és javítsa ki a mögöttes hibát.
1135	Információ	A DKM-tároló ACL-szervizelése sikeresen befejeződött. Mentse az előző SDDL-t.
1136	Hiba	A DKM-tároló ACL-szervizelése nem sikerült. Tekintse át a korrelált 510-es azonosítójú eseménybejegyzéseket és az AD FS hibakeresési nyomkövetéseit, és javítsa ki a mögöttes hibát.
1137	Hiba	Az AD FS nem tudta átvenni a DKM-tároló tulajdonjogát, mert a szolgáltatásfiók nem rendelkezik a szükséges engedélyekkel. A szükséges engedélyek megadása
510	Információ	A 1132-es, 1135-ös vagy 1136-os eseményazonosítóból túlcsorduló hozzáférés-vezérlési listát vagy kivételrészleteket tartalmaz. A bejegyzések egyeztetése példányazonosító szerint.

a lap tetejére

A biztonságos állapot várható változásai

A szervizelés után csak a következő tagok férhetnek hozzá a DKM-tárolóhoz:

Tőke:	Hozzáférési jogok
Tartományi rendszergazdák	Általános minden (teljes hozzáférés)
Vállalati rendszergazdák	Általános minden (teljes hozzáférés)
Rendszer:	Általános minden (teljes hozzáférés)
AD FS-szolgáltatásfiók	Olvasás, írás, gyermek létrehozása, tulajdonos írása, fa törlése

Megjegyzés Az öröklés le van tiltva, és az összes örökölt hozzáférés-vezérlés elveszik. A fenti listában nem szereplő bármely más explicit Engedélyezés hozzáférési szabályok el lesznek távolítva.

a lap tetejére

Az automatikus szervizelésről való lemondás

A szervizelés alapértelmezés szerint engedélyezve van, ha a RemediateDkmAcl hiányzik vagy nem nulla értékre van állítva. Ha el kell utasítania egy adott kompatibilitási követelményt, a frissítés telepítése előtt állítsa az értéket 0 értékre a farm minden AD FS-kiszolgálóján. A letiltás nem ajánlott, mert így a DKM-tároló hozzáférés-vezérlési lista nem biztonságos állapotban marad.

Információ	Részletek
Beállításkulcs:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Érték:	RemediateDkmAcl
Típus:	DWORD
Adatok:	0

a lap tetejére

Tulajdonjogi hiba eseményesete (1137-es azonosítójú esemény)

Eseményazonosító: 1137 azt jelzi, hogy az AD FS nem tudta átvenni a DKM-tároló tulajdonjogát, mert a szolgáltatásfiók nem rendelkezik a szükséges engedélyekkel. Ez az állapot leggyakrabban az eredetileg Windows Server 2012-n vagy a Windows Server 2012 R2-n létrehozott farmokon várható. Ebben az esetben adja meg a szükséges engedélyeket az AD FS szolgáltatásfióknak az alábbi lépéseket követve a farm bármely AD FS-kiszolgálóján . Ellenkező esetben a szervizelési kísérletek továbbra is sikertelenek lesznek.

1. Azonosítsa a DKM tároló DN-jét:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Az AD FS szolgáltatásfiók azonosítása:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. ACE-k engedélyezése explicit módon a WriteOwner és a WriteDacl számára:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. A szükséges engedélyek megadása után:

   • Várjon legfeljebb 24 órát a következő észlelési ciklusra
   • Indítsa újra az AD FS szolgáltatást a szervizelés gyorsabb elindításához

Sikeres hibajavítás esetén a rendszer az 1135-ös eseményazonosítójú eseményt (információ) az előző ACL-lel naplózza SDDL formátumban.

a lap tetejére

Az előző SDDL mentése (ajánlott)

Elővigyázatosságból azt javasoljuk, hogy a sikeres szervizelés után mentse az előző hozzáférés-vezérlési listát (SDDL) az eseményazonosítóból: 510 bejegyzés korrelált a 1135-ös eseményazonosítóval. Eseményazonosító: 1135 A kapcsolódó eseményazonosító azonosításához használt példányazonosítót tartalmazza: 510 bejegyzés. Bár az előző hozzáférés-vezérlési listára a legtöbb esetben nincs szükség (mivel az eredeti engedélyek nem voltak biztonságosak), a rendelkezésre állása biztonsági hálót jelent az előre nem látható kompatibilitási problémák esetén.

Manuálisan is átmásolhatja és egyesítheti az SDDL-t az eseményazonosítóból: 510 bejegyzésből, amelyek a 1135-ös eseményazonosító által hivatkozott példányazonosítóval rendelkeznek. Másik lehetőségként a következő PowerShell-parancsfájlt is használhatja a korrelált eseményazonosító összegyűjtéséhez: 510 bejegyzés, és az SDDL fájl mentéséhez:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

a lap tetejére

A korábbi hozzáférés-vezérlési lista visszaállítása

Ha problémákat tapasztal a szervizelés után, és vissza kell térnie az előző hozzáférés-vezérlési listához:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

A visszaállítás után állítsa be a RemediateDkmAcl = 0 értéket a farm összes AD FS-kiszolgálóján, hogy megakadályozza a szolgáltatás újbóli szervizelését a következő ciklusban.

a lap tetejére

Események hivatkozásai

Eseményazonosító: 1132 – A DKM konténer ACL felülvizsgálatot igényel

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Figyelmeztetés
Esemény forrása	AD FS
Eseményazonosító	1132
Esemény szövege	Az AD FS azt észlelte, hogy az Elosztottkulcs-kezelő (DKM) tároló hozzáférés-vezérlési vezérlési lista nem felel meg a várt biztonságos állapotnak. A DKM-tároló szimmetrikus kulcsokat tárol, amelyek a jogkivonat-aláírási kulcsok anyagának védelmére szolgálnak. Konténer DN: <DN> A várt biztonságos állapot le van tiltva az öröklésre, és csak a tartományi rendszergazdák, a vállalati rendszergazdák, a SYSTEM és az AD FS szolgáltatásfiók rendelkezik hozzáféréssel. Az AD FS megkísérli automatikusan szervizelni a hozzáférés-vezérlési listát. A szervizelés azonnal, majd 24 óránként fut, amíg az ACL meg nem felel a várt biztonságos állapotnak. Az eredményt lásd: 1135-ös esemény (sikeres szervizelés) vagy 1136/1137-es esemény (sikertelen szervizelés). Ha le szeretné tiltani az automatikus szervizelést, állítsa 0 értékre a HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) értéket. Útmutatásért lásd https://go.microsoft.com/fwlink/?linkid=2369796: . További adatok Öröklés letiltva: <Igen/Nem> Aktuális ACL (SDDL): See event 510 entries with Instance ID: <Instance ID>

Eseményazonosító: 1133 – A DKM-tároló hozzáférés-vezérlési vezérlése kifogástalan állapotban van

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Információ
Esemény forrása	AD FS
Eseményazonosító	1133
Esemény szövege	A DKM ACL háttérbeli feladat áttekintette a tároló ACL-t a biztonsági szigorítás érdekében. A tároló beállításai megfelelőek, és nincs szükség további beavatkozásra. Konténer DN: <DN>

Eseményazonosító: 1134 – Észlelési hiba

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Hiba
Esemény forrása	AD FS
Eseményazonosító	1134
Esemény szövege	Hibát észlelt az AD FS DKM tároló ACL-ellenőrzése háttérbeli feladata. Konténer DN: <DN> További adatok A kivételek részletei: <kivétel> Felhasználói művelet További információért tekintse át az AD FS hibakeresési naplóit. Győződjön meg arról, hogy az AD FS szolgáltatásfiók hozzáfér a DKM-csoport tárolójához az Active Directoryban.

Eseményazonosító: 1135 – A szervizelés sikeres

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Információ
Esemény forrása	AD FS
Eseményazonosító	1135
Esemény szövege	Az AD FS sikeresen megerősítette az Elosztottkulcs-kezelő (DKM) tároló hozzáférés-vezérlési listát. Konténer DN: <DN> A tároló hozzáférés-vezérlési lista mostantól csak a tartományi rendszergazdáknak, a vállalati rendszergazdáknak, a SYSTEM és az AD FS szolgáltatásfióknak biztosít hozzáférést. Az öröklés le lett tiltva, az összes többi engedély pedig el lett távolítva. Megjegyzés: Az automatikus szervizelés nem fog újra futni, amíg az hozzáférés-vezérlési lista megegyezik az alaptervvel. Ha véglegesen le szeretné tiltani az automatikus szervizelést még akkor is, ha az ACL a jövőben sodródik, állítsa a HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) beállítást 0 értékre. Az előző ACL az alábbi SDDL formátumban szerepel. Ha vissza kell állítania az eredeti engedélyeket, lásd: https://go.microsoft.com/fwlink/?linkid=2369796 További adatok Előző ACL (SDDL): See event 510 entries with Instance ID: <Instance ID>

Eseményazonosító: 1136 – Sikertelen szervizelés

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Hiba
Esemény forrása	AD FS
Eseményazonosító	1136
Esemény szövege	AD FS megpróbálta szervizelni az Elosztottkulcs-kezelő (DKM) tároló ACL-t, de nem sikerült. Konténer DN: <DN> User ActionAutoremediation a következő észlelési ciklusban (24 órán belül) újrapróbálkozik. Ha inkább manuálisan szeretné kijavítani az ACL-t, tekintse át és javítsa ki a DKM-csoport tárolóján lévő ACE-ket. Csak a tartományi rendszergazdák, a vállalati rendszergazdák, a SYSTEM és az AD FS szolgáltatásfiók rendelkezhet hozzáféréssel. Az automatikus szervizelés letiltásához a HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) értéket állítsa 0 értékre. Útmutatásért lásd: https://go.microsoft.com/fwlink/?linkid=2369796 További adatok Aktuális ACL (SDDL) és kivételek részletei: See event 510 entries with Instance ID: <Instance ID>

Eseményazonosító: 1137 – Tulajdonosváltási hiba

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Hiba
Esemény forrása	AD FS
Eseményazonosító	1137
Esemény szövege	Az AD FS megpróbálta szervizelni az Elosztottkulcs-kezelő (DKM) tároló ACL-t, de nem tudta átvenni a tulajdonjogot, mert az AD FS szolgáltatásfiók nem rendelkezik a szükséges engedélyekkel. Ez az eredetileg a Windows Server 2012-n vagy a Windows Server 2012 R2-n létrehozott farmok esetében várható. Konténer DN: <DN> Felhasználói művelet Adja meg a szükséges engedélyeket az AD FS szolgáltatásfióknak ahhoz, hogy a szervizelés sikeres legyen. Az automatikus szervizelés a következő észlelési ciklusban (24 órán belül) vagy a szolgáltatás újraindításakor újrapróbálkozik. Ha inkább manuálisan szeretné kijavítani az ACL-t, tekintse át és javítsa ki a DKM-csoport tárolóján lévő ACE-ket. Csak a tartományi rendszergazdák, a vállalati rendszergazdák, a SYSTEM és az AD FS szolgáltatásfiók rendelkezhet hozzáféréssel. Az automatikus szervizelés letiltásához a HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) értéket állítsa 0 értékre. Útmutatásért lásd: https://go.microsoft.com/fwlink/?linkid=2369796

Eseményazonosító: 510 – További ACL-információk

Információ	Részletek
Eseménynapló	AD FS/Rendszergazda
Esemény típusa	Információ
Esemény forrása	AD FS
Eseményazonosító	510
Esemény szövege	További információ az eseménybejegyzésről a példányazonosítóval együtt. Előfordulhat, hogy több esemény is ugyanazzal a példányazonosítóval rendelkezik, és több információt tartalmaz. Példányazonosító: <Példányazonosító> Részletek: <Hozzáférés-vezérlési szabály vagy kivétel részleteinek szakasza> Nagyméretű hozzáférés-vezérlési listák esetén több 510-es eseményazonosítójú bejegyzés is naplózható. A rendszer először a kapcsolódó 1132-es, 1135-ös vagy 1136-os eseményazonosítójú bejegyzéseket naplózza, majd az ugyanazzal a példányazonosítóval rendelkező 510-es eseményazonosítójú bejegyzéseket.

a lap tetejére

Módosítási napló

Dátum módosítása	Módosítás leírása
2026. október 13.	A cikk kiterjedt átírása a 2026. október 13-i kiadáshoz Az új 1137-es és 510-es eseményazonosítóval bővült az Eseményhivatkozások szakasz.

a lap tetejére