CVE-2026-56155: AD FS Distributed Key Manager-beholder ACL-herding

Opprinnelig publiseringsdato: 14. juli 2026 kl.
KB-ID: 5121391

I denne artikkelen

• Oppsummering
• Iverksett tiltak
• Forventede endringer i sikker tilstand
• Velge bort automatisk utbedring
• Hendelsestilfelle for eierskapsfeil (hendelses-ID 1137)
• Lagre forrige SDDL (anbefales)
• Slik gjenoppretter du forrige tilgangskontrollisten
• Referanser for hendelser
• Endringslogg

Sammendrag

tilgangskontroll List (ACL) på DKM-beholderen (Distributed Key Manager) gikk inn i sin første herdingsfase med Windows-sikkerhetsoppdateringen 14. juli 2026, som introduserte automatisk gjenkjenning av usikre ACL-er og en valgfri utbedringsmekanisme.

Fra og med Windows-sikkerhetsoppdateringen fra 13. oktober 2026, utbedrer AD FS automatisk usikre DKM-beholder-ACL-er som standard. Administratorer kan melde seg ut ved å sette RemediateDkmAcl til 0. Denne herdingsinnsatsen tar for seg en rettighetsutvidelse (EOP) som kan oppstå fra sikkerhetsproblemet som er dokumentert i CVE-2026-56155 | Sikkerhetsproblem med Active Directory Federation Services rettighetsutvidelse.

Sammendrag kan man si at Active Directory Federation Services (AD FS) er avhengig av DKM-beholderen for å lagre de symmetriske nøklene som brukes til å beskytte token-signering og token-krypteringssertifikater for private nøkler. Hvis beholderens tilgangskontrolliste er for tillatt, kan en angriper med lesetilgang til DKM-nøkkelmaterialet dekryptere de token-signerende private nøklene.

tilbake til toppen

Iverksett tiltak

Gjør følgende for å beskytte miljøet ditt:

1. Installer riktig Windows-sikkerhetsoppdatering utgitt 13. oktober 2026 eller senere på alle AD FS-servere.

2. Etter installasjonen reviderer AD FS-tjenesten DKM-beholderens ACL hver gang tjenesten starter og deretter hver 24. time. Hvis tilgangskontrollisten er usikker, forsøker AD FS utbedring automatisk med mindre UtbedringDkmAcl er satt til 0.

3. Se gjennom hendelsesloggen for AD FS Admin for følgende hendelser:

   • Hendelses-ID: 1133 angir at ACL-en til DKM-beholderen er sikker. Ingen ytterligere handling kreves.

   • Hendelses-ID: 1132 indikerer at ACL-en for DKM-beholderen er usikker og at automatisk utbedring vil bli utført. ACL-detaljer skrives til én eller flere etterfølgende hendelses-ID 510-oppføringer med samme forekomst-ID. Se gjennom hendelses-ID-ene 1135, 1136 eller 1137 for utbedringsresultatet, og utfør følgende handling basert på resultatet.

   • Hendelses-ID: 1135 (utbedring vellykket) Ingen ytterligere utbedringshandling er nødvendig. Lagre forrige tilgangskontrollisten fra de etterfølgende 510-oppføringene for hendelses-ID som beskrevet i delen Lagre forrige SDDL.

   • Hendelses-ID: 1136 (utbedring mislyktes) Se gjennom de påfølgende oppføringene for hendelses-ID 510 for å se informasjon om gjeldende tilgangskontrolliste og unntak, rett opp den underliggende feilen, og start deretter AD FS-tjenesten på nytt eller vent på neste gjenkjenningssyklus.

   • Hendelses-ID: 1137 (eierskapsendring mislyktes) Gi AD FS-tjenestekontoen WriteOwner og WriteDacl tillatelser ved å følge veiledningen for hendelser om eierskapsfeil, og start deretter AD FS-tjenesten på nytt eller vent på neste gjenkjenningssyklus.

ACL-hendelser for AD FS DKM-beholder

Hendelses-ID	Type	Betydning
1132	Advarsel	ACL-en til DKM-beholderen samsvarer ikke med forventet sikkerhetstilstand. Se gjennom utbedringshendelsene 1135, 1136 og 1137.
1133	Informasjon	ACL-en til DKM-beholderen er i forventet sikker tilstand. Krever ingen handling.
1134	Feil	Det oppstod en feil under gjenkjenningsoppgaven (for eksempel en LDAP-tilkoblingsfeil). Se gjennom AD FS-feilsøkingslogger, og rett opp den underliggende feilen.
1135	Informasjon	ACL-utbedring for DKM-beholder er fullført. Lagre forrige SDDL.
1136	Feil	ACL-utbedring for DKM-beholder mislyktes. Se gjennom korrelert hendelses-ID 510-oppføringer og AD FS-feilsøkingsspor, og rett opp den underliggende feilen.
1137	Feil	AD FS kan ikke overta eierskapet til DKM-beholderen fordi tjenestekontoen mangler de nødvendige tillatelsene. Gi de nødvendige tillatelsene
510	Informasjon	Inneholder ACL- eller unntaksdetaljer som flyter over fra hendelses-ID-ene 1132, 1135 eller 1136. Sammenligne oppføringer etter Forekomst-ID.

tilbake til toppen

Forventede endringer i sikker tilstand

Etter utbedring har bare følgende sikkerhetskontohavere tilgang til DKM-beholderen:

Hovedstol	Tilgangsrettigheter
Domeneadministratorer	Generic All (Full kontroll)
Bedriftsadministratorer	Generic All (Full kontroll)
System	Generic All (Full kontroll)
AD FS-tjenestekonto	Lese, skrive, opprette underordnet, skrive eier, slette tre

Vær oppmerksom på Arv deaktiveres, og alle arvede ACE-er forkastes. Alle andre eksplisitte Tillat tilgangs-tilgangskontrolposter som ikke er i listen ovenfor, fjernes.

tilbake til toppen

Velge bort automatisk utbedring

Utbedring er aktivert som standard når RemediateDkmAcl mangler eller er satt til en annen verdi enn null. Hvis du må velge bort et bestemt kompatibilitetskrav, angir du verdien til 0 på hver AD FS-server i farmen før du installerer oppdateringen. Det anbefales ikke å velge bort fordi det etterlater ACL for DKM-beholderen i en usikker tilstand.

Informasjon	Detaljer
Registernøkkel:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Verdi:	RemediateDkmAcl
Type:	DWORD
Data:	0

tilbake til toppen

Hendelsestilfelle for eierskapsfeil (hendelses-ID 1137)

Hendelses-ID: 1137 angir at AD FS ikke kan overta eierskapet til DKM-beholderen fordi tjenestekontoen mangler de nødvendige tillatelsene. Denne tilstanden forventes oftest på farmer som opprinnelig ble opprettet på Windows Server 2012 eller Windows Server 2012 R2. I dette tilfellet gir du de nødvendige tillatelsene til AD FS-tjenestekontoen ved å følge fremgangsmåten nedenfor på en AD FS-server i farmen. Hvis ikke vil utbedringsforsøk fortsette å mislykkes.

1. Identifiser DN for DKM-beholderen:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Identifiser AD FS-tjenestekontoen:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Gi eksplisitte tillatelses-tilgangskontrolloppføringer for WriteOwner og WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Når de nødvendige tillatelsene er gitt, kan du enten:

   • Vent opptil 24 timer på neste gjenkjenningssyklus
   • Start AD FS-tjenesten på nytt for å utløse utbedring tidligere

Ved vellykket utbedring logges hendelses-ID: 1135 (informasjon) med forrige tilgangskontrollisten i SDDL-format.

tilbake til toppen

Lagre forrige SDDL (anbefales)

Som et sikkerhetstiltak anbefaler vi at du lagrer forrige ACL (SDDL) fra hendelses-ID: 510 oppføringer koordinert med hendelses-ID: 1135 etter vellykket utbedring. Hendelses-ID: 1135 inneholder forekomst-ID-en som brukes til å identifisere den relaterte hendelses-ID-en: 510 oppføringer. Selv om den forrige ACL-en ikke forventes å være nødvendig i de fleste tilfeller (siden de opprinnelige tillatelsene var usikre), gir det å ha den tilgjengelig et sikkerhetsnett for eventuelle uforutsette kompatibilitetsproblemer.

Du kan kopiere og kombinere SDDL manuelt fra hendelses-ID: 510 oppføringer som har forekomst-ID referert til av hendelses-ID: 1135. Du kan også bruke følgende PowerShell-skript til å samle inn den koordinerte hendelses-ID-en: 510-oppføringer, og lagre SDDL-verdien til en fil:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

tilbake til toppen

Slik gjenoppretter du forrige tilgangskontrollisten

Hvis du opplever problemer etter utbedring og må gå tilbake til forrige tilgangskontrolliste:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Etter gjenopprettingen setter du RemediateDkmAcl = 0 på hver AD FS-server i farmen for å hindre at tjenesten utbedres på nytt i neste syklus.

tilbake til toppen

Referanser for hendelser

Hendelses-ID: 1132 – ACL for DKM-beholder krever gjennomgang

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Advarsel
Hendelseskilde	AD FS
Hendelses-ID	1132
Hendelsestekst	AD FS oppdaget at ACL-en til DKM-beholderen (Distributed Key Manager) ikke samsvarer med forventet sikker tilstand. DKM-beholderen lagrer symmetriske nøkler som brukes til å beskytte nøkkelmateriale for token-signering. Container DN: <DN> Den forventede sikre tilstanden er at arv er deaktivert, og bare domeneadministratorer, bedriftsadministratorer, SYSTEM og AD FS-tjenestekontoen har tilgang. AD FS vil prøve å reparere tilgangskontrollisten automatisk. Utbedring kjøres umiddelbart og deretter hver 24. time til tilgangskontrollisten samsvarer med forventet sikker tilstand. Se hendelse 1135 (utbedring vellykket) eller hendelse 1136/1137 (utbedring mislyktes) for resultatet. Hvis du vil deaktivere automatisk utbedring, setter du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) til 0. Hvis du vil ha veiledning, kan du se https://go.microsoft.com/fwlink/?linkid=2369796. Tilleggsdata Arv deaktivert: <Ja/Nei> Gjeldende ACL (SDDL): Se hendelse 510-oppføringer med Forekomst-ID: <Forekomst-ID>

Hendelses-ID: 1133 – DKM-beholderens tilgangskontrolpanel er feilfritt

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Informasjon
Hendelseskilde	AD FS
Hendelses-ID	1133
Hendelsestekst	DKM ACL-bakgrunnsoppgaven gjennomgikk beholder-ACL-en for sikkerhetsherding. Beholderen har de riktige innstillingene, og du trenger ikke gjøre noe mer. Container DN: <DN>

Hendelses-ID: 1134 – Gjenkjenningsfeil

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Feil
Hendelseskilde	AD FS
Hendelses-ID	1134
Hendelsestekst	Det oppstod en feil i bakgrunnsoppgaven for AD FS DKM-beholder ACL-kontroll. Container DN: <DN> Tilleggsdata Unntaksdetaljer: <unntak> Brukerhandling Se gjennom AD FS-feilsøkingsloggene for mer informasjon. Sikre at AD FS-tjenestekontoen har tilgang til DKM-gruppebeholderen i Active Directory.

Hendelses-ID: 1135 – Utbedring vellykket

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Informasjon
Hendelseskilde	AD FS
Hendelses-ID	1135
Hendelsestekst	AD FS herdet ACL-en for Distributed Key Manager (DKM)-beholderen. Container DN: <DN> Beholdertilgangskontrollisten gir nå bare tilgang til domeneadministratorer, bedriftsadministratorer, SYSTEM og AD FS-tjenestekontoer. Arv er blokkert, og alle andre tillatelser er fjernet. Obs! Automatisk utbedring vil ikke kjøre på nytt så lenge tilgangskontrollisten samsvarer med grunnlinjen. Hvis du vil deaktivere automatisk utbedring permanent selv om tilgangskontrollisten avviker i fremtiden, setter du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) til 0. Den forrige tilgangskontrollisten er inkludert i SDDL-formatet nedenfor. Hvis du trenger å gjenopprette de opprinnelige tillatelsene, kan du se https://go.microsoft.com/fwlink/?linkid=2369796 Tilleggsdata Forrige ACL (SDDL): Se hendelse 510-oppføringer med Forekomst-ID: <Forekomst-ID>

Hendelses-ID: 1136 – Utbedring mislyktes

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Feil
Hendelseskilde	AD FS
Hendelses-ID	1136
Hendelsestekst	AD FS forsøkte å reparere ACL-en til DKM-beholderen (Distributed Key Manager), men mislyktes. Container DN: <DN> User ActionAutoremediation vil prøve på nytt i neste gjenkjenningssyklus (innen 24 timer). Hvis du foretrekker å rette tilgangskontrollisten manuelt, kan du se gjennom og korrigere tilgangskontrollister i DKM-gruppebeholderen. Bare domeneadministratorer, bedriftsadministratorer, SYSTEM og AD FS-tjenestekontoer skal ha tilgang. Hvis du vil deaktivere automatisk utbedring, setter du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) til 0. Hvis du vil ha veiledning, kan du se https://go.microsoft.com/fwlink/?linkid=2369796 Tilleggsdata Gjeldende tilgangskontrollister (SDDL) og unntaksdetaljer: Se hendelse 510-oppføringer med Forekomst-ID: <Forekomst-ID>

Hendelses-ID: 1137 – Endring av eierskap mislyktes

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Feil
Hendelseskilde	AD FS
Hendelses-ID	1137
Hendelsestekst	AD FS prøvde å reparere ACL-en til DKM-beholderen (Distributed Key Manager), men kunne ikke overta eierskapet fordi AD FS-tjenestekontoen ikke har de nødvendige tillatelsene. Dette forventes for farmer som opprinnelig ble opprettet på Windows Server 2012 eller Windows Server 2012 R2. Container DN: <DN> Brukerhandling Gi de nødvendige tillatelsene til AD FS-tjenestekontoen for at utbedringen skal lykkes. Autoutbedring vil prøve på nytt ved neste gjenkjenningssyklus (innen 24 timer) eller ved omstart av tjenesten. Hvis du foretrekker å rette tilgangskontrollisten manuelt, kan du se gjennom og korrigere tilgangskontrollister i DKM-gruppebeholderen. Bare domeneadministratorer, bedriftsadministratorer, SYSTEM og AD FS-tjenestekontoer skal ha tilgang. Hvis du vil deaktivere automatisk utbedring, setter du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) til 0. Hvis du vil ha veiledning, kan du se https://go.microsoft.com/fwlink/?linkid=2369796

Hendelses-ID: 510 – Tilleggsinformasjon om tilgangskontrollisten

Informasjon	Detaljer
Hendelseslogg	AD FS/Admin
Hendelsestype	Informasjon
Hendelseskilde	AD FS
Hendelses-ID	510
Hendelsestekst	Mer informasjon for hendelsesoppføringen med forekomst-ID <og forekomst-ID>. Det kan være flere hendelser med samme forekomst-ID med mer informasjon. Forekomst-ID: <Forekomst-ID> Detaljer: <Tilgangskontrollisten eller unntaksdetaljsegmentet> For store tilgangskontrollister kan flere 510-oppføringer for hendelses-ID loggføres. Den relaterte hendelses-ID-en 1132, 1135 eller 1136 logges først, etterfulgt av hendelses-ID 510-oppføringer med samme forekomst-ID.

tilbake til toppen

Endringslogg

Endre dato	Endre beskrivelse
13. oktober 2026	Omfattende omskriving av denne artikkelen for utgivelsen 13. oktober 2026 La til nye hendelses-ID-er 1137 og 510 i Hendelsesreferanser-delen.

tilbake til toppen