CVE-2026-56155: wzmacnianie zabezpieczeń listy ACL kontenera menedżera kluczy rozproszonych w usłudze AD FS

1. Wyraź zgodę na korygowanie, ustawiając klucz rejestru RemediateDkmAcl na 1. Aby uzyskać więcej informacji, zobacz temat dotyczący systemu Windows Server 2016 i nowszych wersji w sekcji Wymuszanie zgody na uczestnictwo.

2. Do 13 października 2026 r., jeśli klucz rejestru nie zostanie skonfigurowany, aktualizacja automatycznie skoryguje niezabezpieczone listy ACL. Aby zrezygnować z automatycznego korygowania, ustaw w kluczu rejestru wartość 0.

1. Udziel uprawnienia konta usługi AD FS do podjęcia działań naprawczych, zobacz temat dotyczący systemów Windows Server 2012 i Windows Server 2012 R2 w sekcji Opcja korygowania.

2. Następnie wyraź zgodę na korygowanie, ustawiając klucz rejestru RemediteDkmAcl na 1.

Po zainstalowaniu aktualizacji z lipca 2026 r. wykrywanie jest uruchamiane automatycznie minutę po uruchomieniu usługi AD FS, a następnie co 24 godziny. Sprawdź w dzienniku zdarzeń usług AD FS/Administracja pod kątem następujących zdarzeń.

Wskazówka W trybie inspekcji nie są wprowadzane żadne automatyczne zmiany listy ACL.

Skorzystaj ze wskazówek dotyczących rozwiązywania problemów specyficznych dla platformy poniżej.

Windows Server 2016 i nowsze wersje

Zdecydowanie zalecamy, aby administratorzy podjęli działania naprawcze na etapie trybu inspekcji w celu zidentyfikowania i rozwiązania wszelkich problemów ze zgodnością przed rozpoczęciem wymuszania w październiku 2026 r. Aby włączyć tę funkcję korygowania, ustaw następujący klucz rejestru na dowolnym serwerze usług AD FS w farmie.

Po ustawieniu klucza rejestru:

• Odczekaj do 24 godzin na kolejny cykl wykrywania, lub

• Ponowne uruchomienie usługi AD FS w celu szybszego wywołania korygowania

W przypadku pomyślnego korygowania zdarzenie 1135 (informacje) jest rejestrowane z poprzednią listą ACL w formacie SDDL.

Windows Server 2012 i Windows Server 2012 R2

W przypadku tych platform udziel wymaganych uprawnień do konta usługi AD FS, wykonując poniższe czynności na dowolnym serwerze usług AD FS w farmie przed włączeniem rejestru RemediteDkmCacl . W przeciwnym razie próby korygowania zakończą się niepowodzeniem.

1. Zidentyfikuj nazwę wyróżniającą kontenera DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Zidentyfikuj konto usługi AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Udziel jawnego zezwalania na wpisy ACE dla WriteOwner i WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Po udzieleniu wymaganych uprawnień ustaw następujący klucz rejestru na dowolnym serwerze usług AD FS w farmie, aby włączyć korygowanie.

   Informacja	Szczegóły
   Klucz rejestru	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Wartość:	RemediateDkmAcl
   Rodzaj:	DWORD
   Dane:	1
   Uwaga	Jeśli brakuje klucza "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS", najpierw utwórz klucz "ADFS", a następnie ustaw parametr RemediateDkmAcl dla tego klucza.

5. Po ustawieniu klucza rejestru:

• Odczekaj do 24 godzin na kolejny cykl wykrywania, lub

• Ponowne uruchomienie usługi AD FS w celu szybszego wywołania korygowania

W przypadku pomyślnego korygowania zdarzenie 1135 (informacje) jest rejestrowane z poprzednią listą ACL w formacie SDDL.

Zapisz poprzednią zawartość SDDL (zalecane)

Na wszelki wypadek zalecamy zapisanie poprzedniej listy ACL (SDDL) ze zdarzenia 1135 po pomyślnym rozwiązaniu problemu. Chociaż nie oczekuje się, że poprzednia lista ACL będzie potrzebna w większości przypadków (ponieważ pierwotne uprawnienia były niezabezpieczone), jej udostępnienie zapewnia siatkę bezpieczeństwa na wypadek nieprzewidzianych problemów ze zgodnością.

Wskazówka Dzienniki zdarzeń mogą się przewracać ze względu na limity rozmiaru. Jeśli w przyszłości będziesz potrzebować poprzedniej nazwy SDDL, a zdarzenie zostało zastąpione, zostanie ono trwale utracone.

Aby zapisać zawartość SDDL do pliku:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Jak przywrócić poprzednią listę ACL

Jeśli po korygowaniu wystąpią problemy i musisz przywrócić poprzednią listę ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Wskazówka To polecenie wymaga, aby uruchomione z niego konto miało uprawnienia SeSecurityPrivilege (zazwyczaj mają je administratorzy domeny). Uruchom to z sesji programu PowerShell z podwyższonym poziomem uprawnień na maszynie przyłączonej do domeny.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Po przywróceniu ustaw wartość RemediateDkmAcl = 0 , aby uniemożliwić usłudze ponowne korygowanie w następnym cyklu.

Począwszy od aktualizacji z października 2026 r., korygowanie jest uruchamiane domyślnie bez konieczności stosowania klucza rejestru. To zachowanie jest równoważne ustawieniu RemediteDkmAcl = 1 .

Automatyczne korygowanie wymuszania nie dotyczy systemów Windows Server 2012 i Windows Server 2012 R2. W przypadku tych platform należy rozwiązać problemy ręcznie, wykonując kroki opisane w temacie dotyczącym systemów Windows Server 2012 i Windows Server 2012 R2 w sekcji Rozwiązywanie problemów związanych z wyrażaniem zgody.

Jeśli chcesz wyłączyć automatyczne korygowanie po aktualizacji z października 2026 r., ustaw wartość RemediteDkmAcl w rejestrze.

Spowoduje to jawne wyłączenie korygowania. Wykrywanie (zdarzenie 1132) jest nadal uruchamiane, więc administratorzy są świadomi stanu niezabezpieczenia.

Ważne Rezygnacja sprawia, że kontener DKM jest podatny na ataki. Użyj tej opcji tylko wtedy, gdy masz określone wymagania dotyczące zgodności i planujesz ręczne wzmocnienie listy ACL.