CVE-2026-56155: Container Manager de chei distribuite AD FS Întărire ACL

1. Optați pentru remediere setând cheia de registry RemediateDkmAcl la 1. Pentru mai multe informații, consultați subiectul Windows Server 2016 și versiunile ulterioare din secțiunea Opt-in pentru remedieri.

2. Până pe 13 octombrie 2026, dacă cheia de registry nu este configurată, actualizarea va remedia automat ACL-urile nesigure. Pentru a renunța la remedierea automată, setați cheia de registry la 0.

1. Acordați AD FS permisiuni contului de serviciu pentru remediere, consultați subiectul Windows Server 2012 și Windows Server 2012 R2 din secțiunea Remediere explicită.

2. După aceea, optați pentru remediere setând cheia de registry RemediateDkmAcl la 1.

După instalarea actualizării din iulie 2026, detectarea rulează automat la un minut după pornirea serviciului AD FS, apoi la fiecare 24 de ore după aceea. Verificați jurnalul de evenimente AD FS/Admin pentru următoarele evenimente.

Notă Nu se efectuează modificări automate la ACL în timpul Modului de auditare.

Utilizați instrucțiunile de remediere specifice platformei de mai jos.

Windows Server 2016 și versiuni ulterioare

Recomandăm ferm administratorilor să remedieze în timpul fazei de Mod de auditare pentru a identifica și a rezolva orice probleme de compatibilitate înainte ca impunerea să înceapă în octombrie 2026. Pentru a permite remedierea, setați următoarea cheie de registry pe orice server AD FS din fermă.

După setarea cheii de registry, procedați astfel:

• Așteptați până la 24 de ore pentru următorul ciclu de detectare sau

• Reporniți serviciul AD FS pentru a declanșa remedierea mai devreme

După remedierea cu succes, evenimentul 1135 (Informații) este înregistrat în jurnal cu ACL anterior în format SDDL.

Windows Server 2012 și Windows Server 2012 R2

Pentru aceste platforme, acordați permisiunile necesare contului de serviciu AD FS urmând pașii de mai jos pe orice server AD FS din fermă înainte de a activa registry-ul RemediateDkmAcl . În caz contrar, încercările de remediere nu vor reuși.

1. Identificați DN-ul containerului DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificați contul de serviciu AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Acordați permisiuni explicite Allow ACEs for WriteOwner și WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. După ce se acordă permisiunile necesare, setați următoarea cheie de registry pe orice server AD FS din fermă pentru a permite remedierea.

   Informații	Detalii
   Cheia de registry	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Valoare:	RemediateDkmAcl
   Tip:	DWORD
   Date	1
   Notă	Dacă nu este prezent "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS", creați mai întâi cheia "ADFS", apoi setați RemediateDkmAcl sub acea cheie.

5. După setarea cheii de registry, procedați astfel:

• Așteptați până la 24 de ore pentru următorul ciclu de detectare sau

• Reporniți serviciul AD FS pentru a declanșa remedierea mai devreme

După remedierea cu succes, evenimentul 1135 (Informații) este înregistrat în jurnal cu ACL anterior în format SDDL.

Salvarea fișierului SDDL anterior (recomandat)

Ca măsură de precauție, vă recomandăm să salvați ACL anterior (SDDL) de la evenimentul 1135 după remedierea cu succes. Deși ACL anterior nu este de așteptat să fie necesară în majoritatea cazurilor (deoarece permisiunile originale erau nesigure), disponibilitatea acestuia oferă o plasă de siguranță pentru orice probleme de compatibilitate neprevăzute.

Notă Jurnalele de evenimente se pot derula din cauza limitelor de dimensiune. Dacă aveți nevoie de SDDL anterior în viitor și evenimentul a fost suprascris, acesta va fi pierdut definitiv.

Pentru a salva SDDL într-un fișier:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Cum se restaurează ACL-ul anterior

Dacă întâmpinați probleme după remediere și trebuie să reveniți la ACL-ul anterior:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Notă Această comandă necesită ca contul care o rulează să aibă SeSecurityPrivilege (de obicei, administratorii de domeniu au acest lucru). Rulați aceasta dintr-o sesiune PowerShell cu drepturi sporite pe o mașină adăugată la domeniu.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

După restaurare, setați RemediateDkmAcl = 0 pentru a împiedica serviciul să remedieze din nou la următorul ciclu.

Începând cu actualizarea din octombrie 2026, remedierea rulează în mod implicit, fără a necesita cheia de registry. Comportamentul este echivalent cu a avea RemediateDkmAcl = 1 setat.

Remedierea automată de impunere nu se aplică pentru Windows Server 2012 sau Windows Server 2012 R2. Pentru aceste platforme, remediați manual, urmând pașii din subiectul Windows Server 2012 și Windows Server 2012 R2 din secțiunea de remediere a optării.

Dacă trebuie să dezactivați remedierea automată după actualizarea din octombrie 2026, setați valoarea RemediateDkmAcl în registry.

Aceasta dezactivează în mod explicit remedierea. Detectarea (evenimentul 1132) continuă să se declanșeze, astfel încât administratorii sunt conștienți de starea nesigură.

Important Renunțarea lasă containerul DKM vulnerabil. Utilizați-l doar dacă aveți o cerință specifică de compatibilitate și intenționați să întăriți manual ACL.