CVE-2026-56155: AD FS paskirstyto raktų tvarkytuvo konteinerio ACL grūdinimas

1. Sutikite atlikti taisymą nustatydami RemediteDkmAcl registro raktą į 1. Daugiau informacijos žr. "Windows Server 2016" ir naujesnės versijos temoje Opt-in taisymo skyriuje.

2. Iki 2026 m. spalio 13 d., jei registro raktas nebus sukonfigūruotas, naujinimas automatiškai pašalins nesaugius ACL. Norėdami atsisakyti automatinio taisymo, nustatykite registro raktą į 0.

1. Suteikti AD FS tarnybos paskyros teises taisyti, žr. Windows Server 2012 ir Windows Server 2012 R2 temą Opt-in taisymo skyriuje.

2. Tada pasirinkite taisymą nustatydami RemediateDkmAcl registro raktą į 1.

Įdiegus 2026 m. liepos mėn. naujinimą, aptikimas automatiškai vykdomas praėjus minutei nuo AD FS tarnybos paleidimo ir vėliau kas 24 valandas. Patikrinkite, ar AD FS / Administratorius įvykių žurnale nėra šių įvykių.

Atkreipkite dėmesį Audito režimu ACL automatiškai nekeičiama.

Naudokite toliau pateiktas konkrečiai platformai skirtas taisymo gaires.

"Windows Server 2016" ir naujesnės versijos

Primygtinai rekomenduojame administratoriams ištaisyti priemones audito režimo etapu, kad būtų nustatytos ir išspręstos visos suderinamumo problemos prieš pradedant vykdymą 2026 m. spalio mėn. Norėdami įgalinti taisymą, nustatykite šį registro raktą bet kuriame ūkio AD FS serveryje .

Nustatę registro raktą:

• Palaukite iki 24 valandų kito aptikimo ciklo arba

• Iš naujo paleiskite ADFS tarnybą, kad greičiau suaktyvintumėte taisymą

Sėkmingai atkūrus, įvykis 1135 (informacija) užregistruojamas su ankstesniu ACL SDDL formatu.

"Windows Server 2012" ir "Windows Server 2012 R2"

Šioms platformoms suteikite reikiamas teises AD FS tarnybos paskyrai atlikdami toliau nurodytus veiksmus bet kuriame ūkio AD FS serveryje prieš įgalindami RemediateDkmAcl registrą. Kitu atveju taisymo bandymai nepavyks.

1. Identifikuokite DKM konteinerio DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifikuokite ADFS tarnybos paskyrą:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Suteikti aiškų Leisti "WriteOwner" ir "WriteDacl" AKF:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Suteikę reikiamas teises, nustatykite šį registro raktą bet kuriame ūkio AD FS serveryje, kad įgalintumėte taisymą.

   Informacija	Detalės
   Registro raktas	HKEY_LOCAL_MACHINE\SOFTWARE\„Microsoft“\ADFS
   Reikšmė:	RemediteDkmAcl
   Tipas:	DWORD
   Duomenys:	1
   Pastaba	Jei "HKEY_LOCAL_MACHINE\SOFTWARE\„Microsoft“\ADFS" nėra, pirmiausia sukurkite "ADFS" raktą, tada nustatykite RemediteDkmAcl pagal jį.

5. Nustatę registro raktą:

• Palaukite iki 24 valandų kito aptikimo ciklo arba

• Iš naujo paleiskite ADFS tarnybą, kad greičiau suaktyvintumėte taisymą

Sėkmingai atkūrus, įvykis 1135 (informacija) užregistruojamas su ankstesniu ACL SDDL formatu.

Įrašyti ankstesnį SDDL (rekomenduojama)

Atsargumo sumetimais rekomenduojame išsaugoti ankstesnį ACL (SDDL) iš įvykio 1135 po sėkmingo atkūrimo. Nors nesitikima, kad ankstesnis ACL daugeliu atvejų bus reikalingas (nes pradiniai leidimai buvo nesaugūs), jo turėjimas suteikia apsauginį tinklą nuo bet kokių nenumatytų suderinamumo problemų.

Atkreipkite dėmesį Įvykių žurnalai gali būti perkelti dėl dydžio apribojimų. Jei jums reikės ankstesnio SDDL ateityje, o įvykis buvo perrašytas, jis bus prarastas visam laikui.

Norėdami įrašyti SDDL į failą:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Kaip atkurti ankstesnį ACL

Jei pašalinus taisymo kyla problemų ir reikia grąžinti ankstesnę ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Atkreipkite dėmesį Šiai komandai reikalinga paskyra, kurioje ji veikia, turėti "SeSecurityPrivilege" (paprastai ją turi domeno administratoriai). Vykdykite tai didesnių teisių "PowerShell" seanse prie domeno prijungtame kompiuteryje.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Atkūrę nustatykite RemediteDkmAcl = 0 , kad neleistumėte atkurti paslaugos kitame cikle.

Pradedant nuo 2026 m. spalio mėn. naujinimo, taisymas vykdomas pagal numatytuosius parametrus nereikalaujant registro rakto. Veikimas atitinka RemediteDkmAcl = 1 nustatymą.

Vykdymo automatinis taisymas netaikomas "Windows Server 2012" arba "Windows Server 2012 R2". Šiose platformose taisymą atlikite rankiniu būdu atlikdami veiksmus, nurodytus "Windows Server 2012" ir "Windows Server 2012 R2" temoje, esančioje sekcijoje "Pasirinkimas".

Jei norite išjungti automatinį taisymą po 2026 m. spalio mėn. naujinimo, registre nustatykite reikšmę RemediateDkmAcl .

Tai aiškiai išjungia taisymą. Aptikimas (1132 įvykis) toliau vykdomas, todėl administratoriai žino apie būseną nesaugi.

Svarbu Atsisakius DKM konteineris tampa pažeidžiamas. Naudokite jį tik tada, jei turite konkrečius suderinamumo reikalavimus ir planuojate rankiniu būdu sustiprinti ACL.