CVE-2026-56155: AD FS dalītā atslēgu pārvaldnieka konteinera ACL stiprinājums

Attiecas uz

Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Sākotnējais publicēšanas datums: 2026. gada 14. jūlijs
KB ID: 5121391

Tēmas šajā rakstā

Kopsavilkums
Rīkojieties
Paredzamās drošā stāvokļa izmaiņas
Atteikšanās no automātiskās koriģēšanas
Īpašumtiesību kļūmes gadījums (notikuma ID 1137)
Saglabāt iepriekšējo SDDL (ieteicams)
Kā atjaunot iepriekšējo ACL
Notikumu atsauces
Izmaiņu žurnāls

Kopsavilkums

Piekļuves vadības saraksts (Access Control List — ACL) sadalītā atslēgu pārvaldnieka (DKM) konteinerā sāka savu pirmo stiprināšanas fāzi ar 2026. gada 14. jūlija Windows drošības atjauninājumu, kas ieviesa automātisku nedrošu ACL atklāšanu un pieteikšanās koriģēšanas mehānismu.

Sākot ar 2026. gada 13. oktobra Windows drošības atjauninājumu, AD FS pēc noklusējuma automātiski koriģē nedrošus DKM konteineru ACL. Administratori var atteikties, iestatot RemediteDkmAcl uz 0. Šie nostiprināšanas centieni risina privilēģiju paaugstināšanu (EOP), kas var rasties no ievainojamības, kas dokumentēta CVE-2026-56155 | Active Directory federācijas pakalpojums Privilēģiju ievainojamības palielināšana.

Kopumā Active Directory federācijas pakalpojums (AD FS) paļaujas uz DKM konteineru, lai saglabātu simetriskas atslēgas, ko izmanto, lai aizsargātu privāto atslēgu marķieru parakstīšanas un marķieru šifrēšanas sertifikātus. Ja konteinera ACL ir pārāk pieļaujams, uzbrucējs ar lasīšanas piekļuvi DKM atslēgas materiālam var atšifrēt marķieru parakstīšanas privātās atslēgas.

atpakaļ uz sākumu

Rīkojieties

Lai aizsargātu savu vidi, veiciet tālāk norādītās darbības.

Instalējiet atbilstošo Windows drošības atjauninājumu, kas izlaists 2026. gada 13. oktobrī vai vēlāk, visos AD FS serveros.

Svarīgi!

Pirms drošības atjauninājuma instalēšanas nosakiet, vai jums ir jāatsakās no automātiskās koriģēšanas. Atteikšanās nav ieteicama, jo DKM konteiners ACL tiek atstāts nedrošā stāvoklī.

Ja jums ir jāatsakās no konkrētas saderības prasības, pirms atjauninājuma instalēšanas iestatiet RemediateDkmAcl reģistru uz 0 katrā AD FS serverī fermā. DKM konteiners ir viens Active Directory objekts, ko koplieto visi AD FS serveri fermā, un DKM ACL fona uzdevums darbojas katrā serverī. Ja RemediteDkmAcl trūkst vai ir iestatīta vērtība, kas nav nulle pat vienā AD FS serverī, šis serveris pēc atjauninājuma instalēšanas var automātiski koriģēt koplietojamo DKM konteinera ACL.

Pēc instalēšanas AD FS pakalpojums veic DKM konteinera ACL auditu katru reizi, kad tiek sākts pakalpojums, un pēc tam ik pēc 24 stundām. Ja ACL ir nedrošs, AD FS mēģina koriģēt automātiski, ja vien RemediteDkmAcl nav iestatīts uz 0.
Pārskatiet AD FS Administrēšanas notikumu žurnālu, lai uzzinātu tālāk norādītos notikumus.
- Notikuma ID: 1133 norāda, ka DKM konteinera ACL ir drošs. Nekādas turpmākas darbības nav jāveic.
- Notikuma ID: 1132 norāda, ka DKM konteinera ACL ir nedrošs un tiks veikta automātiska koriģēšana. ACL informācija tiek ierakstīta vienā vai vairākos nākamajos notikuma ID 510 ierakstos ar tādu pašu instances ID. Pārskatiet notikuma ID 1135, 1136 vai 1137, lai uzzinātu labošanas rezultātu, un atkarībā no rezultāta veiciet tālāk norādītās darbības.
- Notikuma ID: 1135 (labošana sekmīga) Nav nepieciešamas turpmākas koriģēšanas darbības. Saglabājiet iepriekšējo ACL no nākamajiem notikuma ID 510 ierakstiem, kā aprakstīts sadaļā Iepriekšējā SDDL saglabāšana.
- Notikuma ID: 1136 (labošana neizdevās) Pārskatiet turpmākos notikuma ID 510 ierakstus pašreizējai informācijai par ACL un izņēmumiem, izlabojiet pamatā esošo kļūdu un pēc tam restartējiet AD FS pakalpojumu vai gaidiet nākamo noteikšanas ciklu.
- Notikuma ID: 1137 (īpašumtiesību maiņa neizdevās) Piešķiriet AD FS pakalpojuma kontam WriteOwner un WriteDacl atļaujas, ievērojot īpašumtiesību kļūmes notikuma gadījuma norādījumus, un pēc tam restartējiet AD FS pakalpojumu vai gaidiet nākamo noteikšanas ciklu.

AD FS DKM konteinera ACL notikumi

Notikuma ID	Tips	Nozīme
1132	Brīdinājums	DKM konteinera ACL neatbilst paredzētajam drošajam stāvoklim. Pārskatiet labošanas notikumus 1135, 1136 un 1137.
1133	Informācija	DKM konteinera ACL ir paredzamajā drošajā stāvoklī. Nav jāveic neviena darbība.
1134	Kļūda	Noteikšanas uzdevumā radās kļūda (piemēram, LDAP savienojamības kļūme). Pārskatiet AD FS atkļūdošanas žurnālus un izlabojiet pamatā esošo kļūdu.
1135	Informācija	DKM konteinera ACL labošana ir sekmīgi pabeigta. Saglabāt iepriekšējo SDDL.
1136	Kļūda	DKM konteinera ACL labošana neizdevās. Pārskatiet korelēto notikuma ID 510 ierakstus un AD FS atkļūdošanas izsekojumus un izlabojiet kļūdu.
1137	Kļūda	AD FS nevarēja pārņemt DKM konteinera īpašumtiesības, jo pakalpojuma kontam trūkst nepieciešamo atļauju. Nepieciešamo atļauju piešķiršana
510	Informācija	Satur ACL vai izņēmuma informāciju, kas pārpildi no notikuma ID 1132, 1135 vai 1136. Saskaņot ierakstus pēc instances ID.

atpakaļ uz sākumu

Paredzamās drošā stāvokļa izmaiņas

Pēc koriģēšanas DKM konteineram var piekļūt tikai šādi principāli:

Pamatsumma	Piekļuves tiesības
Domēna administratori	Vispārēji visi (pilnīga kontrole)
Uzņēmumu administratori	Vispārēji visi (pilnīga kontrole)
Sistēma.	Vispārēji visi (pilnīga kontrole)
AD FS pakalpojuma konts	Lasīt, rakstīt, izveidot bērnelementu, rakstīt īpašnieku, dzēst koku

Piezīme Pārmantošana tiek atspējota, un visi pārmantotie AKE tiek atmesti. Visi citi nepārprotami izteikti izteikti atļautie AKE, kas nav iekļauti iepriekšējā sarakstā, tiek noņemti.

atpakaļ uz sākumu

Atteikšanās no automātiskās koriģēšanas

Svarīgi!

Šajā sadaļā, metodē vai uzdevumā ir informācija par to, kā mainīt reģistru. Tomēr, nepareizi mainot reģistru, iespējamas nopietnas problēmas. Tādēļ tālāk norādītās darbības jāveic uzmanīgi. Lai palielinātu drošību, dublējiet reģistru, pirms to maināt. Pēc tam varat atjaunot reģistru, ja rodas problēma. Papildinformāciju par to, kā dublēt un atjaunot reģistru, skatiet rakstā Kā dublēt un atjaunot reģistru operētājsistēmā Windows.

Koriģēšana ir iespējota pēc noklusējuma, ja trūkst RemediteDkmAcl vai ir iestatīta vērtība, kas nav nulle. Ja jums ir jāatsakās no konkrētas saderības prasības, pirms atjauninājuma instalēšanas iestatiet vērtību uz 0 katrā AD FS serverī fermā. Atteikšanās nav ieteicama, jo DKM konteiners ACL tiek atstāts nedrošā stāvoklī.

Informācija	Detalizēta informācija
Reģistra atslēga:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Vērtība:	RemediteDkmAcl
Veids:	DWORD
Dati:	0

atpakaļ uz sākumu

Īpašumtiesību kļūmes gadījums (notikuma ID 1137)

Notikuma ID: 1137 norāda, ka AD FS nevarēja pārņemt DKM konteinera īpašumtiesības, jo pakalpojuma kontam nav nepieciešamo atļauju. Šis nosacījums visbiežāk ir sagaidāms saimniecībās, kas sākotnēji izveidotas Windows Server 2012 vai Windows Server 2012 R2. Šādā gadījumā piešķiriet nepieciešamās atļaujas AD FS pakalpojuma kontam, veicot tālāk norādītās darbības jebkurā AD FS serverī fermā. Pretējā gadījumā koriģēšanas mēģinājumi joprojām būs neveiksmīgi.

Identificējiet DKM konteinera DN:


$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
$dkmContainerDn

Identificējiet AD FS pakalpojuma kontu:


$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
$serviceAccount

Piešķirt skaidru atļaušanu ACEs for WriteOwner and WriteDacl:


$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
$rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
 $sid, 
 ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
 [System.Security.AccessControl.AccessControlType]::Allow, 
 [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
) 
$entry.ObjectSecurity.AddAccessRule($rule) 
$entry.CommitChanges() 
$entry.Close()

Pēc nepieciešamo atļauju piešķiršanas varat veikt kādu no šīm darbībām:
- Uzgaidiet līdz 24 stundām līdz nākamajam noteikšanas ciklam
- Restartējiet AD FS pakalpojumu, lai ātrāk aktivizētu koriģēšanu

Sekmīgi koriģējot, notikuma ID: 1135 (informācija) tiek reģistrēts ar iepriekšējo ACL SDDL formātā.

atpakaļ uz sākumu

Saglabāt iepriekšējo SDDL (ieteicams)

Piesardzības nolūkā pēc sekmīgas koriģēšanas ieteicams saglabāt iepriekšējo ACL (SDDL) no notikuma ID: 510 ieraksti, kas korelē ar notikuma ID: 1135. Notikuma ID: 1135 satur instances ID, kas tiek izmantots, lai identificētu saistītos notikuma ID: 510 ierakstus. Lai gan vairumā gadījumu nav sagaidāms, ka iepriekšējā ACL būs nepieciešama (jo sākotnējās atļaujas bija nedrošas), tā pieejamība nodrošina drošības tīklu neparedzētām saderības problēmām.

Piezīme

Notikumu žurnāli var tikt apritināti lieluma ierobežojumu dēļ. Ja jums nākotnē nepieciešams iepriekšējais SDDL un notikums ir pārrakstīts, tas tiks neatgriezeniski zaudēts.

Varat manuāli kopēt un kombinēt SDDL no notikuma ID: 510 ierakstiem, kuriem ir instances ID, uz kuru atsaucas notikuma ID: 1135. Vai arī izmantojiet tālāk norādīto PowerShell skriptu, lai apkopotu korelēto notikuma ID: 510 ierakstus un saglabātu SDDL failā:


New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

atpakaļ uz sākumu

Kā atjaunot iepriekšējo ACL

Ja rodas problēmas pēc koriģēšanas un ir nepieciešams atgriezties pie iepriekšējā ACL, veiciet tālāk norādītās darbības.


# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close()

Piezīme

Šīs komandas izpildei ir nepieciešams, lai kontam, kas to izpilda, būtu SeSecurityPrivilege (parasti tas ir domēna administratoriem). Palaidiet to no privileģētās PowerShell sesijas domēnam pievienotā datorā.


Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord

Pēc atjaunošanas katrā fermas AD FS serverī iestatiet RemediteDkmAcl = 0 , lai novērstu atkārtotu pakalpojuma koriģēšanu nākamajā ciklā.

atpakaļ uz sākumu

Notikumu atsauces

Notikuma ID: 1132 — DKM konteinera ACL ir jāpārskata

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Brīdinājums
Notikuma avots	AD FS
Notikuma ID	1132
Notikuma teksts	AD FS konstatēja, ka dalīto atslēgu pārvaldnieka (Distributed Key Manager — DKM) konteinera ACL neatbilst paredzētajam drošajam stāvoklim. DKM konteinerā tiek glabātas simetriskas atslēgas, kas tiek izmantotas, lai aizsargātu marķieru parakstīšanas atslēgas materiālu. Konteinera DN: <DN> Paredzamais drošais stāvoklis ir atspējota pārmantošana, un piekļuve ir tikai domēna administratoriem, uzņēmumu administratoriem, SYSTEM un AD FS pakalpojuma kontam. AD FS mēģinās automātiski koriģēt ACL. Koriģēšana tiek veikta nekavējoties un pēc tam ik pēc 24 stundām, līdz ACL atbilst paredzētajam drošajam stāvoklim. Skatiet notikumu 1135 (koriģēšana sekmīga) vai notikumu 1136/1137 (koriģēšana neizdevās), lai uzzinātu rezultātu. Ja vēlaties atteikties no automātiskās koriģēšanas, iestatiet HKLM\SOFTWARE\Microsoft\ADFS\RemediteDkmAcl (DWORD) uz 0. Norādījumus skatiet https://go.microsoft.com/fwlink/?linkid=2369796sadaļā . Papildu dati Pārmantošana atspējota: <Jā/Nē> Pašreizējais ACL (SDDL): Skatīt 510. notikuma ierakstus ar instances ID: <Instances ID>

Notikuma ID: 1133 — DKM konteinera ACL ir veselīgs

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Informācija
Notikuma avots	AD FS
Notikuma ID	1133
Notikuma teksts	DKM ACL fona uzdevums pārskatīja konteinera ACL drošības rūdību. Konteineram ir pareizie iestatījumi, un nav jāveic papildu darbības. Konteinera DN: <DN>

Notikuma ID: 1134 — noteikšanas kļūda

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Kļūda
Notikuma avots	AD FS
Notikuma ID	1134
Notikuma teksts	AD FS DKM konteinera ACL pārbaudes fona uzdevumā radās kļūda. Konteinera DN: <DN> Papildu dati Tālāk sniegta detalizēta informācija par izņēmumiem. <izņēmums> Lietotāja darbība Lai iegūtu papildinformāciju, pārskatiet AD FS atkļūdošanas žurnālus. Pārliecinieties, vai AD FS pakalpojuma kontam ir piekļuve DKM grupas konteineram pakalpojumā Active Directory.

Notikuma ID: 1135 — koriģēšana sekmīga

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Informācija
Notikuma avots	AD FS
Notikuma ID	1135
Notikuma teksts	AD FS ir sekmīgi nostiprinājis izplatīto atslēgu pārvaldnieka (Distributed Key Manager — DKM) konteinera ACL. Konteinera DN: <DN> Konteinera ACL tagad piešķir piekļuvi tikai domēna administratoriem, uzņēmumu administratoriem, SYSTEM un AD FS pakalpojuma kontam. Pārmantošana ir bloķēta, un visas pārējās atļaujas ir noņemtas. Piezīme. Automātiskā koriģēšana netiks palaista vēlreiz, kamēr ACL atbildīs bāzlīnijai. Ja vēlaties neatgriezeniski atteikties no automātiskās koriģēšanas pat tad, ja ACL nākotnē mainās, iestatiet HKLM\SOFTWARE\Microsoft\ADFS\RemediteDkmAcl (DWORD) uz 0. Iepriekšējais ACL ir iekļauts SDDL formātā zemāk. Ja vēlaties atjaunot sākotnējās atļaujas, skatiet rakstu https://go.microsoft.com/fwlink/?linkid=2369796 Papildu dati Iepriekšējais ACL (SDDL): Skatīt 510. notikuma ierakstus ar instances ID: <Instances ID>

Notikuma ID: 1136 — koriģēšana neizdevās

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Kļūda
Notikuma avots	AD FS
Notikuma ID	1136
Notikuma teksts	AD FS mēģināja koriģēt izplatīto atslēgu pārvaldnieka (Distributed Key Manager — DKM) konteinera ACL, bet tas neizdevās. Konteinera DN: <DN> Lietotāja darbībaAutomātiskā koriģēšana mēģinās atkārtoti veikt nākamo noteikšanas ciklu (24 stundu laikā). Ja vēlaties labot ACL manuāli, pārskatiet un labojiet AKE DKM grupas konteinerā. Tikai domēna administratoriem, uzņēmumu administratoriem, SYSTEM un AD FS pakalpojuma kontam drīkst būt piekļuve. Lai atspējotu automātisko koriģēšanu, iestatiet HKLM\SOFTWARE\Microsoft\ADFS\RemediteDkmAcl (DWORD) uz 0. Norādījumus skatiet rakstā https://go.microsoft.com/fwlink/?linkid=2369796 Papildu dati Pašreizējā ACL (SDDL) un izņēmuma informācija: Skatīt 510. notikuma ierakstus ar instances ID: <Instances ID>

Notikuma ID: 1137 — īpašumtiesību maiņas kļūme

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Kļūda
Notikuma avots	AD FS
Notikuma ID	1137
Notikuma teksts	AD FS mēģināja koriģēt izplatīto atslēgu pārvaldnieka (DKM) konteinera ACL, taču nevarēja pārņemt īpašumtiesības, jo AD FS pakalpojuma kontam nav nepieciešamo atļauju. Tas ir paredzēts fermām, kas sākotnēji izveidotas sistēmā Windows Server 2012 vai Windows Server 2012 R2. Konteinera DN: <DN> Lietotāja darbība Lai koriģēšana būtu sekmīga, piešķiriet AD FS pakalpojuma kontam nepieciešamās atļaujas. Automātiskā koriģēšana mēģinās atkārtoti nākamā noteikšanas cikla laikā (24 stundu laikā) vai pakalpojuma restartēšanas laikā. Ja vēlaties labot ACL manuāli, pārskatiet un labojiet AKE DKM grupas konteinerā. Tikai domēna administratoriem, uzņēmumu administratoriem, SYSTEM un AD FS pakalpojuma kontam drīkst būt piekļuve. Lai atspējotu automātisko koriģēšanu, iestatiet HKLM\SOFTWARE\Microsoft\ADFS\RemediteDkmAcl (DWORD) uz 0. Norādījumus skatiet rakstā https://go.microsoft.com/fwlink/?linkid=2369796

Notikuma ID: 510 — papildu informācija par ACL

Informācija	Detalizēta informācija
Notikumu žurnāls	AD FS / Administrēšana
Notikuma tips	Informācija
Notikuma avots	AD FS
Notikuma ID	510
Notikuma teksts	Papildinformācija par notikuma ierakstu ar instances ID <vai instances ID.> Var būt vairāki notikumi ar vienu un to pašu instances ID ar papildinformāciju. Instances ID: <Instances ID> Detalizēta informācija: <ACL vai izņēmuma detaļu segments> Lieliem ACL var reģistrēt vairākus notikuma ID 510 ierakstus. Vispirms tiek reģistrēts saistītais notikuma ID 1132, 1135 vai 1136, kam seko notikuma ID 510 ieraksti ar tādu pašu instances ID.

atpakaļ uz sākumu

Izmaiņu žurnāls

Mainīt datumu	Izmaiņu apraksts
2026. gada 13. oktobris	Plaši pārrakstīts šis raksts, lai izlaistu 2026. gada 13. oktobra laidienu. Sadaļā Notikumu atsauces pievienoti jauni notikuma ID 1137 un 510.

atpakaļ uz sākumu

CVE-2026-56155: AD FS dalītā atslēgu pārvaldnieka konteinera ACL stiprinājums

Tēmas šajā rakstā

Kopsavilkums

Rīkojieties

Paredzamās drošā stāvokļa izmaiņas

Atteikšanās no automātiskās koriģēšanas

Īpašumtiesību kļūmes gadījums (notikuma ID 1137)

Saglabāt iepriekšējo SDDL (ieteicams)

Kā atjaunot iepriekšējo ACL

Notikumu atsauces

Izmaiņu žurnāls

Vai šī informācija bija noderīga?

Paldies par atsauksmēm!