CVE-2026-56155: Proteção da ACL do contentor do Gestor de Chaves Distribuídas do AD FS

1. Opte por participar na remediação ao definir a chave de registo RemediateDkmAcl como 1. Consulte o tópico Windows Server 2016 e posterior na secção Remediação de opt-in para obter mais informações.

2. Até 13 de outubro de 2026, se a chave do Registo não estiver configurada, a atualização irá remediar automaticamente as ACLs não seguras. Para optar ativamente por não participar na remediação automática, defina a chave do Registo como 0.

1. Conceda permissões de conta de serviço do AD FS para remediar, consulte o tópico Windows Server 2012 e Windows Server 2012 R2 na seção Remediação de opção ativa de participação.

2. Depois disso, opte por participar na remediação ao definir a chave de registo RemediateDkmAcl como 1.

Depois de instalar a atualização de julho de 2026, a deteção é executada automaticamente um minuto após o início do serviço AD FS e, posteriormente, a cada 24 horas. Verifique se os eventos seguintes são efetuados no registo de eventos do AD FS/Administração.

Observação Não são feitas alterações automáticas na ACL durante o Modo de Auditoria.

Utilize as orientações de correção específicas da plataforma abaixo.

Windows Server 2016 e posterior

Recomendamos vivamente que os administradores corrijam durante a fase do Modo de Auditoria para identificar e resolver quaisquer problemas de compatibilidade antes do início da imposição em outubro de 2026. Para habilitar a remediação, defina a seguinte chave do Registro em qualquer servidor AD FS no farm.

Depois de definir a chave do Registo:

• Aguarde até 24 horas pelo próximo ciclo de deteção ou

• Reinicie o serviço AD FS para acionar a remediação mais cedo

Após uma remediação bem-sucedida, o evento 1135 (Informações) é registado com a ACL anterior no formato SDDL.

Windows Server 2012 e Windows Server 2012 R2

Para essas plataformas, conceda as permissões necessárias para a conta de serviço do AD FS seguindo as etapas abaixo em qualquer servidor AD FS no farm antes de habilitar o registro RemediateDkmAcl . Caso contrário, as tentativas de remediação falharão.

1. Identificar o DN do contentor DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifique a conta de serviço do AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Conceder explícito Permitir ACEs para WriteOwner e WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Depois de conceder as permissões necessárias, defina a seguinte chave do Registo em qualquer servidor AD FS no farm para ativar a remediação.

   Informação	Detalhes
   Chave de registo	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Valor:	RemediateDkmAcl
   Tipo:	DWORD
   Dados:	1
   Nota	Se "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" não estiver presente, crie primeiro a chave "ADFS" e, em seguida, defina RemediateDkmAcl sob essa chave.

5. Depois de definir a chave do Registo:

• Aguarde até 24 horas pelo próximo ciclo de deteção ou

• Reinicie o serviço AD FS para acionar a remediação mais cedo

Após uma remediação bem-sucedida, o evento 1135 (Informações) é registado com a ACL anterior no formato SDDL.

Guardar a SDDL anterior (Recomendado)

Como medida de precaução, recomendamos salvar o LCA anterior (SDDL) do evento 1135 após uma remediação bem-sucedida. Embora não se espere que a ACL anterior seja necessária na maioria dos casos (uma vez que as permissões originais eram inseguras), tê-la disponível fornece uma rede de segurança para quaisquer problemas de compatibilidade imprevistos.

Observação Os registos de eventos podem ser ignorados devido a limites de tamanho. Se precisar da SDDL anterior no futuro e o evento tiver sido substituído, será perdido permanentemente.

Para salvar o SDDL em um arquivo:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Como restaurar a ACL anterior

Se tiver problemas após a remediação e precisar reverter para a ACL anterior:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Observação Este comando requer que a conta que o executa tenha SeSecurityPrivilege (normalmente os Administradores de Domínio têm este comando). Execute isto a partir de uma sessão elevada do PowerShell numa máquina associada a um domínio.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Após a restauração, defina RemediateDkmAcl = 0 para impedir que o serviço seja remediado no ciclo seguinte.

A partir da atualização de outubro de 2026, a remediação é executada por predefinição sem necessitar da chave de registo. O comportamento é equivalente a ter RemediateDkmAcl = 1 definido.

A remediação automática de imposição não se aplica ao Windows Server 2012 ou Windows Server 2012 R2. Para essas plataformas, corrija manualmente seguindo as etapas no tópico Windows Server 2012 e Windows Server 2012 R2 na seção Remediação de opção ativa de participação.

Se precisar de desativar a remediação automática após a atualização de outubro de 2026, defina o valor RemediateDkmAcl no registo.

Esta ação desativa explicitamente a remediação. A deteção (evento 1132) continua a ser ativada para que os administradores estejam cientes do estado inseguro.

Importante Optar ativamente por não participar deixa o seu contentor DKM vulnerável. Utilize esta opção apenas se tiver um requisito de compatibilidade específico e planear fortalecer manualmente a ACL.