CVE-2026-56155: AD FS Distributed Key Manager-beholder ACL-herding

1. Velg utbedring ved å angi registernøkkelen RemediateDkmAcl til 1. Se Windows Server 2016 og nyere emne i delen om valg av utbedring for mer informasjon.

2. Innen 13. oktober 2026, hvis registernøkkelen ikke er konfigurert, vil oppdateringen automatisk utbedre usikre ACL-er. Hvis du vil deaktivere automatisk utbedring, setter du registernøkkelen til 0.

1. Gi AD FS-tjenestekontotillatelse til å utbedre. Se Windows Server 2012 og Windows Server 2012 R2-emnet i delen om innmeldingsutbedring.

2. Etter det kan du velge utbedring ved å angi registernøkkelen RemediateDkmAcl til 1.

Når du har installert oppdateringen for juli 2026, kjører gjenkjenningen automatisk ett minutt etter at AD FS-tjenesten starter, og deretter hver 24. time. Se etter følgende hendelser i AD FS/Admin-hendelsesloggen.

Vær oppmerksom på Det gjøres ingen automatiske endringer i tilgangskontrollisten under overvåkingsmodus.

Bruk den plattformspesifikke utbedringsveiledningen nedenfor.

Windows Server 2016 og nyere

Vi anbefaler på det sterkeste at administratorer gjør utbedring i løpet av overvåkingsmodusfasen for å identifisere og løse eventuelle kompatibilitetsproblemer før håndhevelsen starter i oktober 2026. Hvis du vil aktivere utbedring, angir du følgende registernøkkel på en AD FS-server i farmen.

Når du har angitt registernøkkelen, gjør du ett av følgende:

• Vente opptil 24 timer på neste gjenkjenningssyklus, eller

• Start AD FS-tjenesten på nytt for å utløse utbedring tidligere

Ved vellykket utbedring logges hendelsen 1135 (informasjon) med forrige tilgangskontrollisten i SDDL-format.

Windows Server 2012 og Windows Server 2012 R2

For disse plattformene gir du de nødvendige tillatelsene til AD FS-tjenestekontoen ved å følge fremgangsmåten nedenfor på en AD FS-server i farmen før du aktiverer RemediateDkmAcl-registeret . Ellers vil utbedringsforsøk mislykkes.

1. Identifiser DN for DKM-beholderen:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifiser AD FS-tjenestekontoen:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Gi eksplisitte tillatelses-tilgangskontrolloppføringer for WriteOwner og WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Når de nødvendige tillatelsene er gitt, angir du følgende registernøkkel på en AD FS-server i farmen for å aktivere utbedring.

   Informasjon	Detaljer
   Registernøkkel	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Verdi:	RemediateDkmAcl
   Type:	DWORD
   Data:	1
   Obs!	Hvis "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" ikke finnes, oppretter du "ADFS"-nøkkelen først, og deretter setter du RemediateDkmAcl under den nøkkelen.

5. Når du har angitt registernøkkelen, gjør du ett av følgende:

• Vente opptil 24 timer på neste gjenkjenningssyklus, eller

• Start AD FS-tjenesten på nytt for å utløse utbedring tidligere

Ved vellykket utbedring logges hendelsen 1135 (informasjon) med forrige tilgangskontrollisten i SDDL-format.

Lagre forrige SDDL (anbefales)

Som et forsiktighetstiltak anbefaler vi at du lagrer forrige ACL (SDDL) fra hendelse 1135 etter vellykket utbedring. Selv om den forrige ACL-en ikke forventes å være nødvendig i de fleste tilfeller (siden de opprinnelige tillatelsene var usikre), gir det å ha den tilgjengelig et sikkerhetsnett for eventuelle uforutsette kompatibilitetsproblemer.

Vær oppmerksom på Hendelseslogger kan akkumuleres på grunn av størrelsesbegrensninger. Hvis du trenger den forrige SDDL-en i fremtiden og hendelsen er overskrevet, vil den gå tapt permanent.

Slik lagrer du SDDL i en fil:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Slik gjenoppretter du forrige tilgangskontrollisten

Hvis du opplever problemer etter utbedring og må gå tilbake til forrige tilgangskontrolliste:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Vær oppmerksom på Denne kommandoen krever at kontoen som kjører den, har SeSecurityPrivilege (domeneadministratorer har vanligvis dette). Kjør dette fra en opphøyd PowerShell-økt på en domenetilknyttet maskin.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Etter gjenoppretting setter du RemediateDkmAcl = 0 for å hindre at tjenesten utbedres på nytt i neste syklus.

Fra og med oktober 2026-oppdateringen kjøres utbedring som standard uten at registernøkkelen kreves. Virkemåten tilsvarer å ha RemediateDkmAcl = 1 angitt.

Automatisk utbedring gjelder ikke for Windows Server 2012 eller Windows Server 2012 R2. Utbedring manuelt for disse plattformene ved å følge fremgangsmåten i emnet Windows Server 2012 og Windows Server 2012 R2, i inndelingen for innmeldingsutbedring.

Hvis du må deaktivere automatisk utbedring etter oktober 2026-oppdateringen, angir du RemediateDkmAcl-verdien i registret.

Dette deaktiverer eksplisitt utbedring. Deteksjonen (hendelse 1132) fortsetter å utløses, så administratorer er klar over den usikre tilstanden.

Viktig! Hvis du reserverer deg, kan DKM-beholderen sårbar. Bare bruk dette hvis du har et bestemt kompatibilitetskrav og har tenkt å herde ACL-en manuelt.