CVE-2026-56155: Rozšírenie kontajnera AD FS Distributed Key Manager sprísnenie zoznamu prístupových práv

1. Vyjadrite explicitný súhlas s riešením kľúča databázy Registry RemediteDkmAcl na hodnotu 1. Ďalšie informácie nájdete v téme Windows Server 2016 a novších verziách v časti Oprava s explicitným súhlasom.

2. Ak do 13. októbra 2026 nie je kľúč databázy Registry nakonfigurovaný, aktualizácia automaticky opraví nezabezpečené zoznamy prístupových práv Ak chcete vyjadriť explicitný nesúhlas s automatickou opravou, nastavte kľúč databázy Registry na hodnotu 0.

1. Udeľte kontu služby AD FS povolenia na opravu, pozrite si tému Windows Server 2012 a Windows Server 2012 R2 v časti Oprava s explicitným súhlasom.

2. Potom sa prihláste na opravu nastavením kľúča databázy Registry RemediteDkmAcl na hodnotu 1.

Po inštalácii aktualizácie z júla 2026 sa zisťovanie automaticky spustí jednu minútu po spustení služby AD FS a potom každých 24 hodín. V denníku udalostí AD FS/Spravovanie skontrolujte nasledujúce udalosti.

Poznámka V režime auditu sa v zozname prístupových práv nevykonávajú žiadne automatické zmeny.

Použite nižšie uvedený sprievodný materiál na nápravu pre konkrétnu platformu.

Windows Server 2016 a novšie verzie

Dôrazne odporúčame, aby správcovia počas fázy režimu auditu vykonali nápravu na identifikáciu a vyriešenie prípadných problémov s kompatibilitou ešte pred začatím presadzovania pravidiel v októbri 2026. Ak chcete povoliť opravu, nastavte nasledujúci kľúč databázy Registry na ľubovoľnom serveri ADFS vo farme.

Po nastavení kľúča databázy Registry vykonajte niektorý z týchto krokov:

• Počkajte až 24 hodín na ďalší cyklus detekcie alebo

• Reštartujte službu AD FS, aby sa oprava spustila skôr

Pri úspešnej oprave sa udalosť 1135 (informácie) zaznamená s predchádzajúcim zoznamom prístupových práv vo formáte SDDL.

Windows Server 2012 a Windows Server 2012 R2

V prípade týchto platforiem pred povolením databázy Registry RemediateDkmAcl udeľte požadované povolenia pre konto služby AD FS podľa krokov uvedených nižšie na ktoromkoľvek serveri AD FS vo farme. V opačnom prípade pokusy o opravu zlyhajú.

1. Identifikácia názvu kontajnera DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifikácia konta služby AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Explicitné povolenie ACE pre WriteOwner a WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Po udelení požadovaných povolení nastavte nasledujúci kľúč databázy Registry na ľubovoľnom serveri ADFS vo farme, aby sa povolila oprava.

   Informácie	Podrobnosti
   Kľúč databázy Registry	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Hodnota:	RemediteDkmAcl
   Typ:	DWORD
   Údaje:	1
   Poznámka:	Ak parameter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS nie je k dispozícii, najprv vytvorte kľúč ADFS a potom pod tento kľúč nastavte položku RemediteDkmAcl .

5. Po nastavení kľúča databázy Registry vykonajte niektorý z týchto krokov:

• Počkajte až 24 hodín na ďalší cyklus detekcie alebo

• Reštartujte službu AD FS, aby sa oprava spustila skôr

Pri úspešnej oprave sa udalosť 1135 (informácie) zaznamená s predchádzajúcim zoznamom prístupových práv vo formáte SDDL.

Uloženie predchádzajúceho SDDL (odporúča sa)

Ako preventívne opatrenie odporúčame po úspešnej oprave uložiť predchádzajúci zoznam prístupových práv (SDDL) pred udalosťou 1135. Hoci sa neočakáva, že predchádzajúce ACL budú vo väčšine prípadov potrebné (pôvodné povolenia neboli zabezpečené), jeho dostupnosť poskytuje záchrannú sieť pre prípad akýchkoľvek nepredvídateľných problémov s kompatibilitou.

Poznámka Denníky udalostí sa môžu presúvať z dôvodu obmedzení veľkosti. Ak budete v budúcnosti potrebovať predchádzajúcu SDDL a udalosť sa prepíše, natrvalo sa stratí.

Uloženie SDDL do súboru:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Ako obnoviť predchádzajúci zoznam prístupových práv

Ak sa po oprave vyskytnú problémy a potrebujete sa vrátiť k predchádzajúcemu zoznamu prístupových znakov:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Poznámka Tento príkaz vyžaduje, aby konto, ktoré ho má spustené, malo SeSecurityPrivilege (zvyčajne ho majú správcovia domény). Spustite túto možnosť z relácie prostredia PowerShell bez obmedzených oprávnení v počítači pripojenom k doméne.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Po obnovení nastavte hodnotu RemediteDkmAcl = 0 , aby sa v ďalšom cykle nemohla služba opätovne opraviť.

Od aktualizácie z októbra 2026 sa oprava spúšťa predvolene bez potreby kľúča databázy Registry. Toto správanie je rovnaké ako množina RemediteDkmAcl = 1 .

Automatická náprava presadzovania pravidiel sa nevzťahuje na Windows Server 2012 ani Windows Server 2012 R2. V prípade týchto platforiem vykonajte opravu manuálne podľa krokov v téme Windows Server 2012 a Windows Server 2012 R2 v časti Oprava s explicitným súhlasom.

Ak potrebujete po aktualizácii z októbra 2026 vypnúť automatickú opravu, nastavte hodnotu RemediteDkmAcl v databáze Registry.

Týmto sa explicitne vypne oprava. Zisťovanie (udalosť 1132) sa naďalej spúšťa, takže správcovia vedia, že nezabezpečený stav je známy.

Dôležité Odhlásenie vystaví váš kontajner DKM zraniteľnému. Túto možnosť použite iba v prípade, že máte špecifickú požiadavku na kompatibilitu a plánujete manuálne sprísniť zoznam prístupových znakov.