CVE-2026-56155: AD FS dalītā atslēgu pārvaldnieka konteinera ACL stiprinājums

1. Piesakieties koriģēšanai, iestatot RemediteDkmAcl reģistra atslēgu uz 1. Papildinformāciju skatiet tēmā par Windows Server 2016 un jaunākām versijām sadaļā Pieteikšanās koriģēšana.

2. Ja reģistra atslēga nav konfigurēta, atjauninājums līdz 2026. gada 13. oktobrim automātiski koriģēs nedrošus ACL. Lai atteiktos no automātiskās koriģēšanas, iestatiet reģistra atslēgu uz 0.

1. AD FS pakalpojuma konta atļauju piešķiršana koriģēšanai, skatiet tēmu Windows Server 2012 un Windows Server 2012 R2 sadaļā Pieteikšanās koriģēšana.

2. Pēc tam piekritiet koriģēšanai, iestatot RemediteDkmAcl reģistra atslēgu uz 1.

Pēc 2026. gada jūlija atjauninājuma instalēšanas noteikšana tiek automātiski palaista vienu minūti pēc AD FS pakalpojuma startēšanas un pēc tam ik pēc 24 stundām. Pārbaudiet AD FS/Administrēšanas notikumu žurnālu, lai uzzinātu tālāk norādītos notikumus.

Piezīme Audita režīmā ACL netiek veiktas automātiskas izmaiņas.

Izmantojiet tālāk esošos platformas koriģēšanas norādījumus.

Windows Server 2016 un jaunākas versijas

Mēs stingri iesakām administratoriem veikt korekcijas audita režīma fāzē, lai identificētu un atrisinātu visas saderības problēmas, pirms ieviešana sākas 2026. gada oktobrī. Lai iespējotu koriģēšanu, iestatiet tālāk norādīto reģistra atslēgu jebkurā AD FS serverī fermā.

Pēc reģistra atslēgas iestatīšanas veiciet kādu no šīm darbībām:

• Uzgaidiet līdz 24 stundām līdz nākamajam atklāšanas ciklam vai

• Restartējiet AD FS pakalpojumu, lai ātrāk aktivizētu koriģēšanu

Sekmīgi koriģējot, notikums 1135 (Informācija) tiek reģistrēts ar iepriekšējo ACL SDDL formātā.

Windows Server 2012 un Windows Server 2012 R2

Šīm platformām piešķiriet nepieciešamās atļaujas AD FS pakalpojuma kontam, veicot tālāk norādītās darbības jebkurā AD FS serverī fermā, pirms RemediateDkmAcl reģistra iespējošanas. Pretējā gadījumā koriģēšanas mēģinājumi neizdosies.

1. Identificējiet DKM konteinera DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificējiet AD FS pakalpojuma kontu:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Piešķirt skaidru atļaušanu ACEs for WriteOwner and WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Pēc nepieciešamo atļauju piešķiršanas iestatiet tālāk norādīto reģistra atslēgu jebkurā AD FS serverī fermā, lai iespējotu koriģēšanu.

   Informācija	Detalizēta informācija
   Reģistra atslēga	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Vērtība:	RemediteDkmAcl
   Veids:	DWORD
   Dati:	1
   Piezīme	Ja "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" nav, vispirms izveidojiet atslēgu "ADFS" un pēc tam zem šīs atslēgas iestatiet RemediteDkmAcl .

5. Pēc reģistra atslēgas iestatīšanas veiciet kādu no šīm darbībām:

• Uzgaidiet līdz 24 stundām līdz nākamajam atklāšanas ciklam vai

• Restartējiet AD FS pakalpojumu, lai ātrāk aktivizētu koriģēšanu

Sekmīgi koriģējot, notikums 1135 (Informācija) tiek reģistrēts ar iepriekšējo ACL SDDL formātā.

Saglabāt iepriekšējo SDDL (ieteicams)

Piesardzības nolūkā ieteicams saglabāt iepriekšējo ACL (SDDL) no notikuma 1135 pēc sekmīgas koriģēšanas. Lai gan vairumā gadījumu nav sagaidāms, ka iepriekšējā ACL būs nepieciešama (jo sākotnējās atļaujas bija nedrošas), tā pieejamība nodrošina drošības tīklu neparedzētām saderības problēmām.

Piezīme Notikumu žurnāli var tikt apritināti lieluma ierobežojumu dēļ. Ja jums nākotnē nepieciešams iepriekšējais SDDL un notikums ir pārrakstīts, tas tiks neatgriezeniski zaudēts.

Lai saglabātu SDDL failā:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Kā atjaunot iepriekšējo ACL

Ja rodas problēmas pēc koriģēšanas un ir nepieciešams atgriezties pie iepriekšējā ACL, veiciet tālāk norādītās darbības.

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Piezīme Šīs komandas izpildei ir nepieciešams, lai kontam, kas to izpilda, būtu SeSecurityPrivilege (parasti tas ir domēna administratoriem). Palaidiet to no privileģētās PowerShell sesijas domēnam pievienotā datorā.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Pēc atjaunošanas iestatiet RemediteDkmAcl = 0 , lai nākamajā ciklā pakalpojums netiktu atkārtoti koriģēts.

Sākot ar 2026. gada oktobra atjauninājumu, koriģēšana tiek izpildīta pēc noklusējuma bez reģistra atslēgas nepieciešamības. Šī darbība ir līdzvērtīga tam, ka ir iestatīts RemediteDkmAcl = 1 .

Izpildes automātiskā koriģēšana neattiecas uz Windows Server 2012 vai Windows Server 2012 R2. Šīm platformām koriģējiet manuāli, veicot darbības, kas norādītas tēmā Windows Server 2012 un Windows Server 2012 R2 sadaļā Pieteikšanās koriģēšana.

Ja vēlaties atspējot automātisko koriģēšanu pēc 2026. gada oktobra atjauninājuma, reģistrā iestatiet vērtību RemediteDkmAcl .

Tādējādi tiek tieši atspējota koriģēšana. Atklāšana (notikums 1132) turpina aktivizēties, lai administratori būtu informēti par nedrošu stāvokli.

Tas ir svarīgi Ja atteiksities, jūsu DKM konteiners kļūst neaizsargāts. Izmantojiet šo tikai tad, ja jums ir konkrēta saderības prasība un plānojat manuāli nostiprināt ACL.