CVE-2026-56155: Pengerasan ACL kontainer Manajer Kunci Terdistribusi AD FS

Tanggal publikasi asli: 14 Juli 2026
ID KB: 5121391

Di artikel ini

• Ringkasan
• Mengambil tindakan
• Perubahan status aman yang diharapkan
• Menolak remediasi otomatis
• Kasus kejadian kegagalan kepemilikan (ID Kejadian 1137)
• Menyimpan SDDL sebelumnya (Disarankan)
• Cara memulihkan ACL sebelumnya
• Referensi peristiwa
• Log perubahan

Ringkasan

Access Control List (ACL) pada kontainer Distributed Key Manager (DKM) memasuki fase pengerasan pertamanya dengan pembaruan keamanan Windows 14 Juli 2026, yang memperkenalkan deteksi otomatis ACL yang tidak aman dan mekanisme remediasi keikutsertaan.

Dimulai dengan pembaruan keamanan Windows 13 Oktober 2026, AD FS secara otomatis memulihkan ACL kontainer DKM yang tidak aman secara default. Administrator dapat menolak dengan mengatur RemediateDkmAcl ke 0. Upaya pengerasan ini mengatasi peningkatan hak istimewa (EOP) yang dapat timbul dari kerentanan yang didokumentasikan dalam CVE-2026-56155 | Layanan Federasi Direktori Aktif Kerentanan Elevasi Hak Istimewa.

Singkatnya, Layanan Federasi Direktori Aktif (AD FS) bergantung pada kontainer DKM untuk menyimpan kunci simetris yang digunakan untuk melindungi sertifikat penandatanganan token dan enkripsi token untuk kunci privat. Jika ACL kontainer terlalu permisif, penyerang dengan akses baca ke materi kunci DKM dapat mendekripsi kunci pribadi penandatanganan token.

Kembali ke atas

Mengambil tindakan

Untuk melindungi lingkungan Anda, selesaikan langkah-langkah berikut:

1. Instal pembaruan keamanan Windows yang sesuai yang dirilis pada atau setelah 13 Oktober 2026 di semua server AD FS.

2. Setelah instalasi, layanan AD FS mengaudit ACL kontainer DKM setiap kali layanan dimulai dan setiap 24 jam setelahnya. Jika ACL tidak aman, AD FS mencoba remediasi secara otomatis kecuali RemediateDkmAcl diatur ke 0.

3. Tinjau log kejadian Admin AD FS untuk kejadian berikut:

   • ID Kejadian: 1133 menunjukkan bahwa ACL kontainer DKM aman. Tidak diperlukan tindakan lain.

   • ID Kejadian: 1132 menunjukkan bahwa ACL kontainer DKM tidak aman dan remediasi otomatis akan dilakukan. Detail ACL ditulis ke satu atau beberapa entri ID Kejadian 510 berikutnya dengan ID Instans yang sama. Tinjau ID Kejadian 1135, 1136, atau 1137 untuk hasil remediasi dan lakukan tindakan berikut berdasarkan hasilnya.

   • ID Peristiwa: 1135 (remediasi berhasil) Tidak ada tindakan remediasi lebih lanjut yang diperlukan. Simpan ACL sebelumnya dari entri ID Kejadian 510 berikutnya seperti yang dijelaskan di bagian Simpan SDDL sebelumnya.

   • ID Peristiwa: 1136 (remediasi gagal) Tinjau entri ID Kejadian 510 berikutnya untuk detail ACL dan pengecualian saat ini, koreksi kesalahan yang mendasarinya, lalu mulai ulang layanan AD FS atau tunggu siklus deteksi berikutnya.

   • ID Peristiwa: 1137 (perubahan kepemilikan gagal) Berikan izin WriteOwner dan WriteDacl kepada akun layanan AD FS dengan mengikuti panduan kasus kejadian kegagalan kepemilikan, lalu mulai ulang layanan AD FS atau tunggu siklus deteksi berikutnya.

Kejadian ACL kontainer AD FS DKM

ID Peristiwa	Tipe	Arti
1132	Peringatan	ACL kontainer DKM tidak cocok dengan status aman yang diharapkan. Tinjau peristiwa remediasi 1135, 1136, dan 1137.
1133	Informasi	ACL kontainer DKM dalam status aman yang diharapkan. Tidak ada tindakan yang diperlukan.
1134	Kesalahan	Tugas deteksi mengalami kesalahan (seperti kegagalan konektivitas LDAP). Tinjau log debug AD FS dan koreksi kesalahan yang mendasarinya.
1135	Informasi	Remediasi ACL kontainer DKM berhasil diselesaikan. Simpan SDDL sebelumnya.
1136	Kesalahan	Remediasi ACL kontainer DKM gagal. Tinjau entri ID Kejadian 510 dan pelacakan Debug AD FS yang berkorelasi dan koreksi kesalahan yang mendasarinya.
1137	Kesalahan	AD FS tidak dapat mengambil kepemilikan kontainer DKM karena akun layanan tidak memiliki izin yang diperlukan. Berikan izin yang diperlukan
510	Informasi	Berisi detail ACL atau pengecualian yang meluap dari ID Kejadian 1132, 1135, atau 1136. Cocokkan entri berdasarkan ID Instans.

Kembali ke atas

Perubahan status aman yang diharapkan

Setelah remediasi, hanya prinsipal berikut yang akan memiliki akses ke kontainer DKM:

Pokok	Hak Akses
Admin Domain	Semua Generik (Kontrol Penuh)
Admin perusahaan	Semua Generik (Kontrol Penuh)
Sistem	Semua Generik (Kontrol Penuh)
Akun layanan AD FS	Membaca, menulis, membuat anak, menulis pemilik, menghapus pohon

catatan Pewarisan dinonaktifkan dan semua ACE yang diwariskan dibuang. Izinkan ACE eksplisit lainnya yang tidak ada dalam daftar di atas akan dihapus.

Kembali ke atas

Menolak remediasi otomatis

Remediasi diaktifkan secara default ketika RemediateDkmAcl hilang atau diatur ke nilai bukan nol. Jika Anda harus menolak persyaratan kompatibilitas tertentu, atur nilai ke 0 di setiap server AD FS di farm sebelum menginstal pembaruan. Menolak tidak disarankan karena membuat ACL kontainer DKM dalam keadaan tidak aman.

Informasi	rincian
Kunci registri:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Nilai:	RemediateDkmAcl
Jenis:	DWORD
Data:	0

Kembali ke atas

Kasus kejadian kegagalan kepemilikan (ID Kejadian 1137)

ID Peristiwa: 1137 menunjukkan bahwa AD FS tidak dapat mengambil kepemilikan kontainer DKM karena akun layanan tidak memiliki izin yang diperlukan. Kondisi ini paling sering terjadi pada farm yang awalnya dibuat di Windows Server 2012 atau Windows Server 2012 R2. Dalam hal ini, berikan izin yang diperlukan ke akun layanan AD FS dengan mengikuti langkah-langkah di bawah ini pada satu server AD FS di farm. Jika tidak, upaya remediasi akan terus gagal.

1. Identifikasi DN kontainer DKM:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Identifikasi akun layanan AD FS:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Berikan ACE Izinkan eksplisit untuk WriteOwner dan WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Setelah izin yang diperlukan diberikan, salah satunya:

   • Tunggu hingga 24 jam untuk siklus deteksi berikutnya
   • Mulai ulang layanan AD FS untuk memicu remediasi lebih cepat

Jika remediasi berhasil, ID Peristiwa: 1135 (Informasi) dicatat dengan ACL sebelumnya dalam format SDDL.

Kembali ke atas

Menyimpan SDDL sebelumnya (Disarankan)

Sebagai tindakan pencegahan, sebaiknya simpan ACL sebelumnya (SDDL) dari ID Acara: 510 entri yang berkorelasi dengan ID Acara: 1135 setelah remediasi berhasil. ID Peristiwa: 1135 berisi ID instans yang digunakan untuk mengidentifikasi ID Kejadian terkait: 510 entri. Meskipun ACL sebelumnya diperkirakan tidak diperlukan dalam banyak kasus (karena izin aslinya tidak aman), memilikinya tersedia jaring pengaman untuk masalah kompatibilitas yang tidak terduga.

Anda dapat menyalin dan menggabungkan SDDL secara manual dari entri ID Acara: 510 yang memiliki ID Instans yang direferensikan oleh ID Acara: 1135. Atau, gunakan skrip PowerShell berikut untuk mengumpulkan entri ID Kejadian yang berkorelasi: 510 dan simpan SDDL ke file:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

Kembali ke atas

Cara memulihkan ACL sebelumnya

Jika Anda mengalami masalah setelah remediasi dan perlu kembali ke ACL sebelumnya:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Setelah pemulihan, atur RemediateDkmAcl = 0 di setiap server AD FS di farm untuk mencegah layanan remediasi ulang pada siklus berikutnya.

Kembali ke atas

Referensi peristiwa

ID Peristiwa: 1132 — ACL kontainer DKM memerlukan peninjauan

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Peringatan
Sumber acara	AD FS
ID Peristiwa	1132
Teks acara	AD FS mendeteksi bahwa ACL kontainer Distributed Key Manager (DKM) tidak cocok dengan status aman yang diharapkan. Kontainer DKM menyimpan kunci simetris yang digunakan untuk melindungi materi kunci penandatanganan token. DN Kontainer: <DN> Status aman yang diharapkan adalah pewarisan dinonaktifkan, dan hanya Admin Domain, Admin Perusahaan, SISTEM, dan akun layanan AD FS yang memiliki akses. AD FS akan mencoba memulihkan ACL secara otomatis. Remediasi berjalan segera dan setiap 24 jam setelahnya hingga ACL cocok dengan keadaan aman yang diharapkan. Lihat peristiwa 1135 (remediasi berhasil) atau peristiwa 1136/1137 (remediasi gagal) untuk hasilnya. Jika Anda ingin menolak remediasi otomatis, atur HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ke 0. Untuk panduan, lihat https://go.microsoft.com/fwlink/?linkid=2369796. Data Tambahan Pewarisan Dinonaktifkan: <Ya/Tidak> ACL Saat Ini (SDDL): Lihat entri peristiwa 510 dengan ID Instans: <ID Instans>

ID Peristiwa: 1133 — ACL kontainer DKM sehat

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Informasi
Sumber acara	AD FS
ID Peristiwa	1133
Teks acara	Tugas latar belakang ACL DKM meninjau ACL kontainer untuk pengerasan keamanan. Kontainer memiliki pengaturan yang benar, dan tidak ada tindakan lebih lanjut yang diperlukan. DN Kontainer: <DN>

ID Peristiwa: 1134 — Kesalahan deteksi

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Kesalahan
Sumber acara	AD FS
ID Peristiwa	1134
Teks acara	Tugas pemeriksaan latar belakang ACL kontainer AD FS DKM mengalami kesalahan. DN Kontainer: <DN> Data Tambahan Detail pengecualian: <pengecualian> Tindakan Pengguna Tinjau log debug AD FS untuk detail selengkapnya. Pastikan akun layanan AD FS memiliki akses ke kontainer grup DKM di Direktori Aktif.

ID Peristiwa: 1135 — Remediasi berhasil

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Informasi
Sumber acara	AD FS
ID Peristiwa	1135
Teks acara	AD FS berhasil memperkuat ACL kontainer Distributed Key Manager (DKM). DN Kontainer: <DN> ACL kontainer kini hanya memberikan akses kepada Admin Domain, Admin Perusahaan, SISTEM, dan akun layanan AD FS. Pewarisan telah diblokir, dan semua izin lainnya telah dihapus. Catatan: Remediasi otomatis tidak akan berjalan lagi saat ACL cocok dengan garis dasar. Jika Anda ingin menolak remediasi otomatis secara permanen meskipun ACL melayang di masa mendatang, atur HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ke 0. ACL sebelumnya disertakan dalam format SDDL di bawah ini. Jika Anda perlu memulihkan izin asli, lihat https://go.microsoft.com/fwlink/?linkid=2369796 Data Tambahan ACL (SDDL) sebelumnya: Lihat entri peristiwa 510 dengan ID Instans: <ID Instans>

ID Peristiwa: 1136 — Remediasi gagal

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Kesalahan
Sumber acara	AD FS
ID Peristiwa	1136
Teks acara	AD FS mencoba memulihkan ACL kontainer Distributed Key Manager (DKM), tetapi gagal. DN Kontainer: <DN> Tindakan PenggunaAutoremediasi akan mencoba lagi pada siklus deteksi berikutnya (dalam waktu 24 jam). Jika Anda lebih suka memperbaiki ACL secara manual, tinjau dan perbaiki ACE pada kontainer grup DKM. Hanya Admin Domain, Admin Perusahaan, SISTEM, dan akun layanan AD FS yang boleh memiliki akses. Untuk menonaktifkan remediasi otomatis, atur HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ke 0. Untuk panduan, lihat https://go.microsoft.com/fwlink/?linkid=2369796 Data Tambahan ACL (SDDL) saat ini dan detail pengecualian: Lihat entri peristiwa 510 dengan ID Instans: <ID Instans>

ID Peristiwa: 1137 — Kegagalan perubahan kepemilikan

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Kesalahan
Sumber acara	AD FS
ID Peristiwa	1137
Teks acara	Layanan Federasi Iklan mencoba memulihkan ACL kontainer Distributed Key Manager (DKM), tetapi tidak dapat mengambil kepemilikan karena akun layanan Layanan Direktori Iklan tidak memiliki izin yang diperlukan. Hal ini diharapkan untuk farm yang awalnya dibuat di Windows Server 2012 atau Windows Server 2012 R2. DN Kontainer: <DN> Tindakan Pengguna Berikan izin yang diperlukan ke akun layanan AD FS agar remediasi berhasil. Remediasi otomatis akan mencoba lagi pada siklus deteksi berikutnya (dalam waktu 24 jam) atau saat layanan dimulai ulang. Jika Anda lebih suka memperbaiki ACL secara manual, tinjau dan perbaiki ACE pada kontainer grup DKM. Hanya Admin Domain, Admin Perusahaan, SISTEM, dan akun layanan AD FS yang boleh memiliki akses. Untuk menonaktifkan remediasi otomatis, atur HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ke 0. Untuk panduan, lihat https://go.microsoft.com/fwlink/?linkid=2369796

ID Acara: 510 — Informasi ACL tambahan

Informasi	rincian
Log peristiwa	AD FS/Admin
Tipe acara	Informasi
Sumber acara	AD FS
ID Peristiwa	510
Teks acara	Informasi selengkapnya untuk entri acara dengan ID Instans. Mungkin ada lebih banyak kejadian dengan ID Instans yang sama dengan informasi selengkapnya. ID Instans: <ID Instans> Detail: <ACL atau segmen detail pengecualian> Untuk ACL besar, beberapa entri ID Kejadian 510 dapat dicatat. ID Kejadian 1132, 1135, atau 1136 terkait dicatat terlebih dahulu, diikuti dengan entri ID Kejadian 510 dengan ID Instans yang sama.

Kembali ke atas

Log perubahan

Ubah tanggal	Ubah deskripsi
13 Oktober 2026	Penulisan ulang artikel ini secara ekstensif untuk rilis 13 Oktober 2026 Menambahkan ID Peristiwa 1137 dan 510 baru di bagian Referensi Acara.

Kembali ke atas