CVE-2026-56155: AD FS 분산 키 관리자 컨테이너 ACL 강화

1. RemediateDkmAcl 레지스트리 키를 1로 설정하여 수정을 옵트인합니다. 자세한 내용은 옵트인 수정 섹션의 Windows Server 2016 이상 항목을 참조하세요.

2. 2026년 10월 13일까지 레지스트리 키가 구성되지 않은 경우 업데이트는 안전하지 않은 ACL을 자동으로 수정합니다. 자동 수정을 옵트아웃하려면 레지스트리 키를 0으로 설정합니다.

1. 수정할 AD FS 서비스 계정 권한을 부여합니다. 옵트인 수정 섹션에서 Windows Server 2012 및 Windows Server 2012 R2 항목을 참조하세요.

2. 그런 다음 RemediateDkmAcl 레지스트리 키를 1로 설정하여 수정을 옵트인합니다.

2026년 7월 업데이트를 설치한 후 검색은 AD FS 서비스가 시작된 후 1분 후 24시간마다 자동으로 실행됩니다. AD FS/관리 이벤트 로그에서 다음 이벤트를 확인합니다.

참고 감사 모드 중에는 ACL을 자동으로 변경하지 않습니다.

아래 플랫폼별 수정 지침을 사용합니다.

Windows Server 2016 이상

2026년 10월에 적용이 시작되기 전에 관리자가 감사 모드 단계에서 호환성 문제를 식별하고 resolve 수정하는 것이 좋습니다. 수정을 사용하도록 설정하려면 팜의 AD FS 서버 하나에 다음 레지스트리 키를 설정합니다.

레지스트리 키를 설정한 후 다음 중 하나를 수행합니다.

• 다음 검색 주기 동안 최대 24시간 대기 또는

• AD FS 서비스를 다시 시작하여 수정을 더 빨리 트리거합니다.

성공적으로 수정되면 이벤트 1135 (정보)가 SDDL 형식으로 이전 ACL로 기록됩니다.

Windows Server 2012 및 Windows Server 2012 R2

이러한 플랫폼의 경우 RemediateDkmAcl 레지스트리를 사용하도록 설정하기 전에 팜의 한 AD FS 서버에서 아래 단계에 따라 AD FS 서비스 계정에 필요한 권한을 부여합니다. 그렇지 않으면 수정 시도가 실패합니다.

1. DKM 컨테이너 DN 식별:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. AD FS 서비스 계정을 식별합니다.

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. WriteOwner 및 WriteDacl에 대해 명시적 허용 ACE를 부여합니다.

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. 필요한 권한이 부여된 후 팜의 AD FS 서버 하나에 다음 레지스트리 키를 설정하여 수정을 사용하도록 설정합니다.

   정보	세부 정보
   레지스트리 키	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   값:	RemediateDkmAcl
   형식:	DWORD
   데이터:	1
   참고	"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS"이 없는 경우 먼저 "ADFS" 키를 만든 다음, 해당 키 아래에 RemediateDkmAcl 을 설정합니다.

5. 레지스트리 키를 설정한 후 다음 중 하나를 수행합니다.

• 다음 검색 주기 동안 최대 24시간 대기 또는

• AD FS 서비스를 다시 시작하여 수정을 더 빨리 트리거합니다.

성공적으로 수정되면 이벤트 1135 (정보)가 SDDL 형식으로 이전 ACL로 기록됩니다.

이전 SDDL 저장(권장)

예방 조치로 성공적인 수정 후 이벤트 1135에서 이전 ACL(SDDL)을 저장하는 것이 좋습니다. 대부분의 경우(원래 권한이 안전하지 않았기 때문에) 이전 ACL이 필요하지 않을 것으로 예상되지는 않지만, 사용 가능한 경우 예기치 않은 호환성 문제에 대한 안전망을 제공합니다.

참고 이벤트 로그는 크기 제한으로 인해 롤오버할 수 있습니다. 나중에 이전 SDDL이 필요하고 이벤트를 덮어쓰면 영구적으로 손실됩니다.

SDDL을 파일에 저장하려면 다음을 수행합니다.

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

이전 ACL을 복원하는 방법

수정 후 문제가 발생하며 이전 ACL로 되돌리기 경우:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

참고 이 명령을 실행하려면 실행 중인 계정에 SeSecurityPrivilege가 있어야 합니다(일반적으로 도메인 관리자에게 이 명령이 포함됨). 도메인에 가입된 컴퓨터의 관리자 권한 PowerShell 세션에서 이 작업을 실행합니다.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

복원한 후 RemediateDkmAcl = 0 을 설정하여 서비스가 다음 주기에 다시 수정되지 않도록 합니다.

2026년 10월 업데이트부터 수정은 레지스트리 키를 요구하지 않고 기본적으로 실행됩니다. 동작은 RemediateDkmAcl = 1 을 설정하는 것과 같습니다.

적용 자동 수정은 Windows Server 2012 또는 Windows Server 2012 R2에는 적용되지 않습니다. 이러한 플랫폼의 경우 Windows Server 2012 단계에 따라 수동으로 수정하고 옵트인 수정 섹션의 R2 항목을 Windows Server 2012.

2026년 10월 업데이트 후 자동 수정을 사용하지 않도록 설정해야 하는 경우 레지스트리에서 RemediateDkmAcl 값을 설정합니다.

이렇게 하면 수정이 명시적으로 비활성화됩니다. 검색(이벤트 1132)은 관리자가 안전하지 않은 상태를 인식할 수 있도록 계속 실행됩니다.

중요 옵트아웃하면 DKM 컨테이너가 취약합니다. 특정 호환성 요구 사항이 있고 ACL을 수동으로 강화하려는 경우에만 사용합니다.