CVE-2026-56155: AD FS Distributed Key Manager-container ACL-harding

1. Kies voor herstel door de registersleutel RemediateDkmAcl in te stellen op 1. Zie het onderwerp over Windows Server 2016 en later in de sectie Opt-in-herstel voor meer informatie.

2. Als de registersleutel niet is geconfigureerd, worden uiterlijk op 13 oktober 2026 onveilige ACL's automatisch opgelost door de update. Als u automatisch herstel wilt uitschakelen, stelt u de registersleutel in op 0.

1. Machtigingen voor AD FS-serviceaccounts verlenen Voor herstel raadpleegt u het onderwerp over Windows Server 2012 en Windows Server 2012 R2 in de sectie Opt-in-herstel.

2. Kies daarna voor herstel door de registersleutel RemediateDkmAcl in te stellen op 1.

Na het installeren van de update van juli 2026 wordt de detectie automatisch uitgevoerd één minuut nadat de AD FS-service is gestart en daarna elke 24 uur. Controleer het AD FS/Beheer gebeurtenislogboek op de volgende gebeurtenissen.

Notitie Er worden geen automatische wijzigingen aangebracht in de ACL tijdens de controlemodus.

Gebruik de onderstaande platformspecifieke herstelrichtlijnen.

Windows Server 2016 en hoger

We raden beheerders ten zeerste aan om tijdens de controlemodusfase te herstellen om eventuele compatibiliteitsproblemen te identificeren en op te lossen voordat de handhaving in oktober 2026 begint. Als u herstel wilt inschakelen, stelt u de volgende registersleutel in op een AD FS-server in de farm.

Nadat u de registersleutel hebt ingesteld, kunt u:

• Wacht maximaal 24 uur op de volgende detectiecyclus, of

• Start de AD FS-service opnieuw om herstel eerder te activeren

Bij een geslaagd herstel wordt gebeurtenis 1135 (informatie) geregistreerd met de vorige ACL in SDDL-indeling.

Windows Server 2012 en Windows Server 2012 R2

Voor deze platforms verleent u de vereiste machtigingen aan het AD FS-serviceaccount door de onderstaande stappen te volgen op een AD FS-server in de farm voordat u het register RemediateDkmAcl inschakelt. Als u dat niet doet, mislukken herstelpogingen.

1. Identificeer de DN van de DKM-container:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificeer het AD FS-serviceaccount:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Expliciete ACE's toestaan voor WriteOwner en WriteDacl verlenen:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Nadat de vereiste machtigingen zijn verleend, stelt u de volgende registersleutel in op een AD FS-server in de farm om herstel in te schakelen.

   Informatie	Details
   Registersleutel	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Waarde:	RemediateDkmAcl
   Type:	DWORD
   Gegevens:	1
   Opmerking	Als de HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS ADFS-sleutel niet aanwezig is, maakt u eerst de ADFS-sleutel en stelt u vervolgens RemediateDkmAcl onder die sleutel in.

5. Nadat u de registersleutel hebt ingesteld, kunt u:

• Wacht maximaal 24 uur op de volgende detectiecyclus, of

• Start de AD FS-service opnieuw om herstel eerder te activeren

Bij een geslaagd herstel wordt gebeurtenis 1135 (informatie) geregistreerd met de vorige ACL in SDDL-indeling.

De vorige SDDL opslaan (aanbevolen)

Als voorzorgsmaatregel raden we u aan de vorige ACL (SDDL) van gebeurtenis 1135 op te slaan na succesvol herstel. Hoewel de vorige ACL naar verwachting in de meeste gevallen niet nodig zal zijn (omdat de oorspronkelijke machtigingen onveilig waren), biedt het beschikbaar hebben ervan een vangnet voor eventuele onvoorziene compatibiliteitsproblemen.

Notitie Gebeurtenislogboeken kunnen vanwege groottelimieten worden verlengd. Als u de vorige SDDL in de toekomst nodig hebt en de gebeurtenis is overschreven, gaat deze definitief verloren.

De SDDL opslaan in een bestand:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

De vorige ACL herstellen

Als u problemen ondervindt na herstel en moet terugkeren naar de vorige ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Notitie Voor deze opdracht moet het account waarop de opdracht wordt uitgevoerd SeSecurityPrivilege hebben (meestal hebben domeinbeheerders dit). Voer dit uit vanuit een PowerShell-sessie met verhoogde bevoegdheid op een computer die lid is van een domein.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Stel na het herstellen RemediateDkmAcl = 0 in om te voorkomen dat de service tijdens de volgende cyclus opnieuw wordt hersteld.

Vanaf de update van oktober 2026 wordt herstel standaard uitgevoerd zonder dat de registersleutel vereist is. Dit gedrag komt overeen met het instellen van RemediateDkmAcl = 1 .

Het afdwingen van automatisch herstel is niet van toepassing op Windows Server 2012 en Windows Server 2012 R2. Voor deze platforms herstelt u handmatig de stappen in het onderwerp Windows Server 2012 en Windows Server 2012 R2 in de sectie Opt-in-herstel.

Als u automatisch herstel wilt uitschakelen na de update van oktober 2026, stelt u de RemediateDkmAcl waarde in het register in.

Hiermee wordt herstel expliciet uitgeschakeld. Detectie (gebeurtenis 1132) blijft vuren zodat beheerders op de hoogte zijn van de onveilige status.

Belangrijk Als u zich afmeldt, is uw DKM-container kwetsbaar. Gebruik dit alleen als u een specifieke compatibiliteitsvereiste hebt en van plan bent de ACL handmatig te beveiligen.