CVE-2026-56155: AD FS Distributed Key Manager kontejner ACL kaljenje

1. Dajte saglasnost za oporavak postavljanjem ključa registratora RemediteDkmAcl na vrednost 1. Više informacija potražite u temi Windows Server 2016 i novije verzije u odeljku "Saniranje saglasnosti".

2. Do 13. oktobra 2026. ako ključ registratora nije konfigurisan, ažuriranje će automatski otkloniti nebezbedne ACL-ove. Da biste odbili saglasnost za automatsko saniranje, podesite ključ registratora na vrednost 0.

1. Dodelite dozvole nalogu usluge AD FS za rešavanje problema, pogledajte temu Windows Server 2012 i Windows Server 2012 R2 u odeljku"Saniranje saglasnosti".

2. Nakon toga, dajte saglasnost za oporavak tako što ćete ključ registratora RemediteDkmAcl postaviti na vrednost 1.

Nakon instaliranja ispravke iz jula 2026, otkrivanje se automatski pokreće jedan minut nakon pokretanja usluge AD FS, a zatim svaka 24 časa nakon toga. Proverite da li u AD FS/Administrator evidenciji događaja postoje sledeći događaji.

Napomena Tokom režima nadzora ne prave se automatske promene ACL-a.

Koristite uputstva za oporavak specifična za platformu u nastavku.

Windows Server 2016 i novije verzije

Preporučujemo da administratori poprave probleme tokom faze režima nadzora kako bi identifikovali i rešili sve probleme sa kompatibilnošću pre nego što sprovođenje počne u oktobru 2026. Da biste omogućili saniranje, postavite sledeći ključ registratora na bilo kom AD FS serveru na farmi.

Nakon postavljanja ključa registratora, uradite nešto od sledeće:

• Sačekajte do 24 časa za sledeći ciklus otkrivanja ili

• Ponovo pokrenite uslugu AD FS da biste ranije pokrenuli sanaciju

Prilikom uspešnog saniranja, događaj 1135 (informacije) se evidentira sa prethodnim ACL-om u SDDL formatu.

Windows Server 2012 i Windows Server 2012 R2

Za ove platforme dodelite potrebne dozvole za nalog usluge AD FS tako što ćete pratiti dolenavedene korake na bilo kom AD FS serveru na farmi pre nego što omogućite registar RemediteDkmAcl . U suprotnom, pokušaji popravke neće uspeti.

1. Identifikujte DN kontejnera DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifikujte nalog za uslugu AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Dodela eksplicitnih Dozvoli ACE za WriteOwner i WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Kada se dodele neophodne dozvole, postavite sledeći ključ registratora na bilo kom AD FS serveru na farmi da biste omogućili saniranje.

   Informaцije	Detalji
   Ključ registratora	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Vrednost:	PopravljenoDkmAcl
   Tip:	DWORD
   Podatke:	1
   Napomena	Ako nema zapisa "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS", prvo kreirajte "ADFS" ključ, a zatim postavite RemediteDkmAcl ispod tog ključa.

5. Nakon postavljanja ključa registratora, uradite nešto od sledeće:

• Sačekajte do 24 časa za sledeći ciklus otkrivanja ili

• Ponovo pokrenite uslugu AD FS da biste ranije pokrenuli sanaciju

Prilikom uspešnog saniranja, događaj 1135 (informacije) se evidentira sa prethodnim ACL-om u SDDL formatu.

Sačuvajte prethodni SDDL (preporučuje se)

Kao meru predostrožnosti, preporučujemo da sačuvate prethodni ACL (SDDL) od događaja 1135 nakon uspešne sanacije. Iako se ne očekuje da će prethodni ACL biti potreban u većini slučajeva (pošto su prvobitne dozvole bile nesigurne), njegova dostupnost pruža sigurnosnu mrežu za sve nepredviđene probleme sa kompatibilnošću.

Napomena Evidencije događaja mogu da se prenesu zbog ograničenja veličine. Ako vam ubuduće bude potreban prethodni SDDL, a događaj je zamenjen, on će biti trajno izgubljen.

Da biste sačuvali SDDL u datoteci:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Kako da vratite prethodni ACL

Ako naiđete na probleme nakon sanacije i treba da se vratite na prethodni ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Napomena Ova komanda zahteva da nalog koji je pokreće ima SeSecurityPrivilege (to obično imaju administratori domena). Pokrenite ovo iz PowerShell sesije sa punim privilegijama na računaru pridruženom domenu.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Nakon vraćanja u prethodno stanje, podesite RemediateDkmAcl = 0 da biste sprečili ponovnu sanaciju usluge u sledećem ciklusu.

Počevši od ispravke iz oktobra 2026, oporavak se podrazumevano pokreće bez traženja ključa registratora. Ovo ponašanje je ekvivalentno skupu RemediateDkmAcl = 1 .

Automatsko saniranje prinudnog sprečavanja se ne primenjuje na Windows Server 2012 ili Windows Server 2012 R2. Za ove platforme izvršite ručnu popravku tako što ćete pratiti korake u temi Windows Server 2012 i Windows Server 2012 R2 u odeljku "Saniranje saglasnosti".

Ako treba da onemogućite automatsko oporavak nakon ažuriranja iz oktobra 2026, postavite vrednost RemediteDkmAcl u registratoru.

Ovo izričito onemogućava saniranje. Otkrivanje (događaj 1132) nastavlja da se aktivira kako bi administratori bili svesni nebezbednog stanja.

Važno Odbijanje saglasnosti ostavlja vaš DKM kontejner ranjivim. Ovu opciju koristite samo ako imate određene zahteve za kompatibilnost i planirate da ručno ojačate ACL.