CVE-2026-56155: utrjevanje vsebnika ACL v vsebniku distribuiranega upravitelja ključev AD FS

1. Privolite v sodelovanje pri popravljanju tako, da nastavite registrski ključ RemediateDkmAcl na 1. Če želite več informacij, v razdelku o privolitvi v popravke glejte temo o sistemu Windows Server 2016 in novejše različice.

2. Če registrski ključ ni konfiguriran, bo posodobitev do 13. oktobra 2026 samodejno odpravila nevarne sezname ACL. Če želite zavrniti sodelovanje pri samodejnem popravljanju, nastavite registrski ključ na 0.

1. Če želite odobriti dovoljenja računa storitve AD FS za odpravljanje popravkov, glejte temo Windows Server 2012 in Windows Server 2012 R2 v razdelku o privolitvi v popravljanje/posodabljanje.

2. Po tem privolite v popravljanje tako, da nastavite registrski ključ RemediteDkmAcl na 1.

Po namestitvi posodobitve iz julija 2026 se zaznavanje samodejno zažene eno minuto po zagonu storitve ADFS in nato vsakih 24 ur. V dnevniku dogodkov AD FS/Skrbnik poiščite te dogodke.

Opomba V načinu nadzora se ACL ne spremeni samodejno.

Upoštevajte spodnja navodila za odpravljanje težav za določeno platformo.

Windows Server 2016 in novejše različice

Močno priporočamo, da skrbniki v fazi načina nadzora odpravijo in odpravijo morebitne težave z združljivostjo, preden se uveljavljanje začne oktobra 2026. Če želite omogočiti popravek, nastavite ta registrski ključ v katerem koli strežniku ADFS v gruči.

Ko nastavite registrski ključ, naredite nekaj od tega:

• Počakajte do 24 ur na naslednji cikel zaznavanja ali

• Znova zaženite storitev AD FS, da prej sprožite popravljanje

Ob uspešnem popravljanju se dogodek 1135 (informacije) zabeleži s prejšnjim ACL-jem v obliki zapisa SDDL.

Windows Server 2012 in Windows Server 2012 R2

Za te platforme dodelite zahtevana dovoljenja računu storitve AD FS tako, da upoštevate spodnje korake v katerem koli strežniku AD FS v gruči, preden omogočite register RemediateDkmAcl . V nasprotnem primeru poskusi popravljanja ne bodo uspešni.

1. Identificiranje DN vsebnika DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identificirajte račun storitve AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Odobritev eksplicitnih dovoljenj ACE za WriteOwner in WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Ko dodelite zahtevana dovoljenja, nastavite ta registrski ključ v vseh strežnikih ADFS v gruči, da omogočite popravke.

   Informacije	Podrobnosti
   Registrski ključ	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Vrednost:	PopraviDkmAcl
   Vrsta:	DWORD
   Podatki:	1
   Opomba	Če »HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS« ni na voljo, najprej ustvarite tipko »ADFS« in nato pod to tipko nastavite RemediateDkmAcl .

5. Po nastavitvi registrskega ključa:

• Počakajte do 24 ur na naslednji cikel zaznavanja ali

• Vnovični zagon storitve AD FS za hitrejše sprožitev popravljanja

Po uspešnem sanaciji je dogodek 1135 (Informacije) zabeležen s prejšnjim seznamom ACL v obliki zapisa SDDL.

Shranite prejšnjo SDDL (priporočeno)

Kot previdnostni ukrep priporočamo, da po uspešni sanaciji shranite prejšnji ACL (SDDL) iz dogodka 1135. Čeprav se pričakuje, da prejšnji ACL v večini primerov ne bo potreben (ker so bila prvotna dovoljenja negotova), je njegova razpoložljivost varnostna mreža za morebitne nepredvidene težave z združljivostjo.

Opomba Dnevniki dogodkov se lahko prenesejo zaradi omejitev velikosti. Če boste v prihodnosti potrebovali prejšnjo SDDL in je bil dogodek prepisan, bo trajno izgubljen.

Če želite SDDL shraniti v datoteko:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Kako obnoviti prejšnji ACL

Če po odpravljanju težav naletite na težave in se morate vrniti na prejšnji seznam ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Opomba Ta ukaz zahteva, da ima račun, ki ga izvaja, SeSecurityPrivilege (običajno ga imajo skrbniki domene). Zaženite to iz seje PowerShell s povišanimi ravninami v računalniku, ki je pridružen domeni.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Po obnovitvi nastavite RemediateDkmAcl = 0 , da preprečite ponovno sanacijo storitve v naslednjem ciklu.

Od posodobitve oktobra 2026 se odpravljanje privzeto izvaja brez potrebe za registrskim ključem. Vedenje je enakovredno naboru RemediateDkmAcl = 1 .

Samodejno popravljanje uveljavljanja ne velja za Windows Server 2012 ali Windows Server 2012 R2. Za te platforme popravite ročno tako, da upoštevate navodila v temi Windows Server 2012 in Windows Server 2012 R2 v razdelkuPopravljanje privolitve.

Če morate onemogočiti samodejno popravljanje po posodobitvi oktobra 2026, nastavite vrednost RemediteDkmAcl v registru.

To izrecno onemogoči sanacijo. Zaznavanje (dogodek 1132) se še naprej sproži, zato se skrbniki zavedajo nevarnega stanja.

Pomembno Če se odjavite, je vaš vsebnik DKM ranljiv. To možnost uporabite le, če imate določeno zahtevo glede združljivosti in nameravate ročno okrepiti seznam ACL.