CVE-2026-56155: Pengerasan ACL kontainer Manajer Kunci Terdistribusi AD FS

1. Ikut serta dalam remediasi dengan mengatur kunci registri RemediateDkmAcl ke 1. Lihat topik Server Windows 2016 dan yang lebih baru di bagian Remediasi keikutsertaan untuk informasi selengkapnya.

2. Pada 13 Oktober 2026, jika kunci registri tidak dikonfigurasi, pembaruan akan secara otomatis memulihkan ACL yang tidak aman. Untuk menolak remediasi otomatis, atur kunci registri ke 0.

1. Berikan izin akun layanan AD FS Untuk memulihkan, lihat topik Windows Server 2012 dan Windows Server 2012 R2 di bagian Remediasi keikutsertaan.

2. Setelah itu, ikuti remediasi dengan mengatur kunci registri RemediateDkmAcl ke 1.

Setelah menginstal pembaruan Juli 2026, deteksi secara otomatis berjalan satu menit setelah layanan AD FS dimulai, lalu setiap 24 jam setelahnya. Periksa log kejadian AD FS/Admin untuk kejadian berikut.

catatan Tidak ada perubahan otomatis yang dilakukan pada ACL selama Mode Audit.

Gunakan panduan remediasi khusus platform di bawah ini.

Server Windows 2016 dan yang lebih baru

Kami sangat menyarankan agar administrator melakukan remediasi selama fase Mode Audit untuk mengidentifikasi dan menyelesaikan masalah kompatibilitas sebelum penegakan dimulai pada Oktober 2026. Untuk mengaktifkan remediasi, atur kunci registri berikut pada satu server AD FS di farm.

Setelah mengatur kunci registri, salah satu:

• Tunggu hingga 24 jam untuk siklus deteksi berikutnya, atau

• Mulai ulang layanan AD FS untuk memicu remediasi lebih cepat

Jika remediasi berhasil, kejadian 1135 (Informasi) dicatat dengan ACL sebelumnya dalam format SDDL.

Windows Server 2012 dan Windows Server 2012 R2

Untuk platform ini, berikan izin yang diperlukan ke akun layanan AD FS dengan mengikuti langkah-langkah di bawah ini pada satu server AD FS di farm sebelum mengaktifkan registri RemediateDkmAcl . Jika tidak, upaya remediasi akan gagal.

1. Identifikasi DN kontainer DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifikasi akun layanan AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Berikan ACE Izinkan eksplisit untuk WriteOwner dan WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Setelah izin yang diperlukan diberikan, atur kunci registri berikut di setiap server AD FS di farm untuk mengaktifkan remediasi.

   Informasi	rincian
   Kunci registri	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Nilai:	RemediateDkmAcl
   Jenis:	DWORD
   Data:	1
   Catatan	Jika "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" tidak ada, buat kunci "ADFS" terlebih dahulu, lalu atur RemediateDkmAcl di bawah kunci tersebut.

5. Setelah mengatur kunci registri, salah satu:

• Tunggu hingga 24 jam untuk siklus deteksi berikutnya, atau

• Mulai ulang layanan AD FS untuk memicu remediasi lebih cepat

Jika remediasi berhasil, kejadian 1135 (Informasi) dicatat dengan ACL sebelumnya dalam format SDDL.

Menyimpan SDDL sebelumnya (Disarankan)

Sebagai tindakan pencegahan, sebaiknya simpan ACL sebelumnya (SDDL) dari kejadian 1135 setelah remediasi berhasil. Meskipun ACL sebelumnya diperkirakan tidak diperlukan dalam banyak kasus (karena izin aslinya tidak aman), memilikinya tersedia jaring pengaman untuk masalah kompatibilitas yang tidak terduga.

catatan Log peristiwa dapat bergulir karena batas ukuran. Jika Anda memerlukan SDDL sebelumnya di masa mendatang dan kejadian telah ditimpa, SDDL akan hilang secara permanen.

Untuk menyimpan SDDL ke file:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Cara memulihkan ACL sebelumnya

Jika Anda mengalami masalah setelah remediasi dan perlu kembali ke ACL sebelumnya:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

catatan Perintah ini mengharuskan akun yang menjalankannya memiliki SeSecurityPrivilege (biasanya Admin Domain memiliki ini). Jalankan ini dari sesi PowerShell yang ditingkatkan pada komputer yang tergabung dengan domain.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Setelah pemulihan, atur RemediateDkmAcl = 0 untuk mencegah layanan remediasi ulang pada siklus berikutnya.

Dimulai dengan pembaruan Oktober 2026, remediasi berjalan secara default tanpa memerlukan kunci registri. Perilaku ini setara dengan memiliki set RemediateDkmAcl = 1 .

Penerapan remediasi otomatis tidak berlaku untuk Windows Server 2012 atau Windows Server 2012 R2. Untuk platform ini, remediasi secara manual dengan mengikuti langkah-langkah dalam topik Windows Server 2012 dan Windows Server 2012 R2 di bagian Remediasi keikutsertaan.

Jika Anda perlu menonaktifkan remediasi otomatis setelah pembaruan Oktober 2026, atur nilai RemediateDkmAcl dalam registri.

Tindakan ini secara eksplisit menonaktifkan remediasi. Deteksi (kejadian 1132) terus diaktifkan sehingga admin mengetahui status tidak aman.

Penting Memilih keluar membuat kontainer DKM Anda rentan. Gunakan ini hanya jika Anda memiliki persyaratan kompatibilitas khusus dan berencana untuk mengeraskan ACL secara manual.