CVE-2026-56155: AD FS Distributed Key Manager kontejner ACL kaljenje

Originalni datum objavljivanja: 14. jul 2026.
KB ID: 5121391

U ovom članku

• Rezime
• Aktivirajte se
• Očekivane promene bezbednog stanja
• Odbijanje saglasnosti za automatsko saniranje
• Slučaj događaja otkazivanja vlasništva (ID događaja: 1137)
• Sačuvajte prethodni SDDL (preporučuje se)
• Kako da vratite prethodni ACL
• Reference događaja
• Evidencija promena

Rezime

Lista kontrole pristupa (ACL) na kontejneru Distributed Key Manager (DKM) ušla je u prvu fazu ojačavanja sa bezbednosnom ispravkom za Windows od 14. jula 2026, koja je uvela automatsko otkrivanje nebezbednih ACL-ova i mehanizam za saniranje saglasnosti.

Počevši od bezbednosne ispravke za Windows od 13. oktobra 2026., AD FS automatski podrazumevano sanira nebezbedne ACL DKM kontejnera. Administratori mogu da odbiju saglasnost tako što će postaviti RemediateDkmAcl na 0. Ovaj napor učvršćivanja se bavi podizanjem privilegija (EOP) koje može nastati usled ranjivosti dokumentovane u CVE-2026-56155 | Ranjivost u vezi sa podizanjem nivoa privilegija u Active Directory uslugama za ujedinjavanje.

Ukratko, Active Directory usluge za ujedinjavanje (AD FS) oslanjaju se na DKM kontejner za skladištenje simetričnih ključeva koji se koriste za zaštitu certifikata za potpisivanje tokena i šifrovanje tokena za privatne ključeve. Ako je ACL kontejnera previše popustljiv, napadač sa pristupom za čitanje DKM ključnog materijala može da dešifruje privatne ključeve za potpisivanje tokena.

nazad na vrh

Aktivirajte se

Da biste zaštitili okolinu, dovršite sledeće korake:

1. Instalirajte odgovarajuću Windows bezbednosnu ispravku objavljenu 13. oktobra 2026. ili posle toga na svim AD FS serverima.

2. Nakon instalacije, AD FS servis pregleda DKM kontejner ACL svaki put kada usluga počne i svakih 24 sata nakon toga. Ako ACL nije siguran, AD FS pokušava automatski da ga popravi, osim ako RemediteDkmAcl nije postavljen na 0.

3. Pregledajte evidenciju događaja AD FS Administrator za sledeće događaje:

   • ID događaja: 1133 ukazuje na to da je ACL kontejnera DKM bezbedn. Nije potrebno preduzimati nikakve radnje.

   • ID događaja: 1132 ukazuje na to da je ACL DKM kontejnera nebezbedan i da će se izvršiti automatska sanacija. Detalji o ACL-u se upisuju u jedan ili više narednih stavki ID-a događaja 510 sa istim ID-om instance. Pregledajte ID-ove događaja 1135, 1136 ili 1137 za rezultat sanacije i izvršite sledeću radnju na osnovu rezultata.

   • ID događaja: 1135 (sanacija je uspela) Nije potrebna dalja radnja saniranja. Sačuvajte prethodni ACL iz narednih stavki sa ID-om događaja 510 kao što je opisano u odeljku "Čuvanje prethodne SDDL datoteke".

   • ID događaja: 1136 (sanacija nije uspela) Pregledajte naredne stavke ID-a događaja 510 za trenutni ACL i detalje izuzetka, ispravite osnovnu grešku, a zatim ponovo pokrenite uslugu AD FS ili sačekajte sledeći ciklus otkrivanja.

   • ID događaja: 1137 (promena vlasništva nije uspela) Dodelite dozvole nalogu usluge AD FS WriteOwner i WriteDacl tako što ćete pratiti uputstva za slučaj događaja neuspeha vlasništva, a zatim ponovo pokrenite uslugu AD FS ili sačekajte sledeći ciklus otkrivanja.

AD FS DKM kontejner ACL događaji

ID događaja	Tip	Značenje
1132	Upozorenje	DKM kontejner ACL ne odgovara očekivanom sigurnom stanju. Pregledajte događaje saniranja 1135, 1136 i 1137.
1133	Informacije	DKM kontejner ACL je u očekivanom sigurnom stanju. Nije potrebno preduzimati nikakve radnje.
1134	Greška	Zadatak otkrivanja je naišao na grešku (na primer, otkazivanje LDAP povezivanja). Pregledajte evidencije otklanjanja grešaka u usluzi AD FS i ispravite osnovnu grešku.
1135	Informacije	DKM kontejner ACL sanacija uspešno završena. Sačuvajte prethodni SDDL.
1136	Greška	Sanacija ACL-a DKM kontejnera nije uspela. Pregledajte povezane stavke ID-a događaja 510 i AD FS Otklanjanje grešaka i ispravljanje osnovne greške.
1137	Greška	AD FS nije mogao da preuzme vlasništvo nad kontejnerom DKM jer nalog usluge nema potrebne dozvole. Dodelite potrebne dozvole
510	Informacije	Sadrži ACL ili detalje izuzetka koji prelaze sa ID-ova događaja 1132, 1135 ili 1136. Podudaranje stavki po ID-u instance.

nazad na vrh

Očekivane promene bezbednog stanja

Nakon sanacije, samo sledeći principali će imati pristup DKM kontejneru:

Glavnica	Prava pristupa
Administratori domena	Generički sve (potpuna kontrola)
Administratori preduzeća	Generički sve (potpuna kontrola)
Sistem	Generički sve (potpuna kontrola)
Nalog za uslugu AD FS	Čitanje, pisanje, kreiranje deteta, pisanje vlasnika, brisanje stabla

Napomena Nasleđivanje je onemogućeno, a svi nasleđeni ACE se odbacuju. Uklanjaju se sve ostale eksplicitne dozvoljene ACE stavke koje se ne nalaze na gorenavedenoj listi.

nazad na vrh

Odbijanje saglasnosti za automatsko saniranje

Remediacija je podrazumevano omogućena kada RemediteDkmAcl nedostaje ili kada je postavljena na vrednost različitu od nule. Ako morate da odbijete saglasnost za određene zahteve kompatibilnosti, vrednost postavite na 0 na svakom AD FS serveru na farmi pre nego što instalirate ispravku. Odbijanje saglasnosti se ne preporučuje jer ostavlja DKM kontejner ACL u nesigurnom stanju.

Informaцije	Detalji
Ključ registratora:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Vrednost:	PopravljenoDkmAcl
Tip:	DWORD
Podatke:	0

nazad na vrh

Slučaj događaja otkazivanja vlasništva (ID događaja: 1137)

ID događaja: 1137 ukazuje na to da AD FS nije mogao da preuzme vlasništvo nad DKM kontejnerom jer nalog usluge nema potrebne dozvole. Ovo stanje se najčešće očekuje na farmama koje su prvobitno napravljene u sistemu Windows Server 2012 ili Windows Server 2012 R2. U tom slučaju dodelite potrebne dozvole za nalog usluge AD FS tako što ćete pratiti dolenavedene korake na bilo kom AD FS serveru na farmi. U suprotnom, pokušaji popravke će i dalje biti neuspešni.

1. Identifikujte DN kontejnera DKM:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Identifikujte nalog za uslugu AD FS:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Dodela eksplicitnih Dozvoli ACE za WriteOwner i WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Kada se dodele potrebne dozvole, ujedno od sledećih:

   • Sačekajte do 24 časa za sledeći ciklus otkrivanja
   • Ponovo pokrenite uslugu AD FS da biste ranije pokrenuli sanaciju

Prilikom uspešnog saniranja, ID događaja: 1135 (informacije) evidentira se pomoću prethodnog ACL-a u SDDL formatu.

nazad na vrh

Sačuvajte prethodni SDDL (preporučuje se)

Kao meru predostrožnosti, preporučujemo da sačuvate prethodni ACL (SDDL) iz ID-a događaja: 510 unosa povezanih sa ID-om događaja: 1135 nakon uspešne sanacije. ID događaja: 1135 sadrži ID instance koja se koristi za identifikovanje srodnih ID-ova događaja: 510. Iako se ne očekuje da će prethodni ACL biti potreban u većini slučajeva (pošto su prvobitne dozvole bile nesigurne), njegova dostupnost pruža sigurnosnu mrežu za sve nepredviđene probleme sa kompatibilnošću.

Možete ručno da kopirate i kombinujete SDDL iz ID-a događaja: 510 stavki na koje ID instance upućuje pomoću ID-a događaja: 1135. Druga mogućnost je da koristite sledeću PowerShell skriptu da biste prikupili povezani ID događaja: 510 unosa i sačuvali SDDL datoteku:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

nazad na vrh

Kako da vratite prethodni ACL

Ako naiđete na probleme nakon sanacije i treba da se vratite na prethodni ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Nakon vraćanja u prethodno stanje, postavite RemediateDkmAcl = KSNUMKS na svakom AD FS serveru na farmi da biste sprečili ponovnu sanaciju usluge u sledećem ciklusu.

nazad na vrh

Reference događaja

ID događaja: 1132 – DKM kontejner ACL zahteva pregled

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Upozorenje
Izvor događaja	AD FS
ID događaja	1132
Tekst događaja	AD FS je otkrio da se ACL kontejnera Distributed Key Manager (DKM) ne podudara sa očekivanim bezbednim stanjem. DKM kontejner skladišti simetrične ključeve koji se koriste za zaštitu materijala ključa za potpisivanje tokena. DN kontejnera: <DN> Očekivano bezbedno stanje je onemogućeno nasleđivanje i pristup imaju samo administratori domena, administratori preduzeća, SYSTEM i nalog usluge AD FS. AD FS će pokušati da automatski popravi ACL. Sanacija se pokreće odmah i svakih 24 sata nakon toga dok ACL ne odgovara očekivanom sigurnom stanju. Pogledajte događaj 1135 (oporavak uspešan) ili 1136/1137 (oporavak nije uspeo) za ishod. Ako želite da odbijete saglasnost za automatsku medijaciju, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Za uputstva pogledajte .https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podaci Nasleđivanje je onemogućeno: <Da/Ne> Trenutni ACL (SDDL): Pogledajte stavke događaja 510 sa ID-om instance: <ID instance>

ID događaja: 1133 – DKM kontejner ACL je ispravan

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Informacije
Izvor događaja	AD FS
ID događaja	1133
Tekst događaja	DKM ACL pozadinski zadatak pregledao je ACL kontejnera za sigurnosno ojačavanje. Kontejner ima ispravne postavke i nije potrebna nikakva dodatna radnja. DN kontejnera: <DN>

ID događaja: 1134 – Greška otkrivanja

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Greška
Izvor događaja	AD FS
ID događaja	1134
Tekst događaja	Zadatak provere ACL kontejnera AD FS DKM naišao je na grešku. DN kontejnera: <DN> Dodatni podaci Detalji o izuzetku: <izuzetak> Radnje korisnika Da biste videli više detalja, pregledajte evidencije otklanjanja grešaka u usluzi AD FS. Uverite se da nalog usluge AD FS ima pristup kontejneru DKM grupe u usluzi Active Directory.

ID događaja: 1135 – Remediation successful

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Informacije
Izvor događaja	AD FS
ID događaja	1135
Tekst događaja	AD FS je uspešno ojačao ACL kontejnera Distributed Key Manager (DKM). DN kontejnera: <DN> ACL kontejnera sada odobrava pristup samo administratorima domena, administratorima preduzeća, sistemu SYSTEM i nalogu usluge AD FS. Nasleđivanje je blokirano, a sve druge dozvole su uklonjene. Napomena: Automatsko oporavak se neće ponovo pokretati dok se ACL podudara sa osnovnom linijom. Ako želite trajno da odbijete saglasnost za automatsku medijaciju, čak i ako ACL u budućnosti prestane da radi, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Prethodni ACL je uključen u SDDL format ispod. Ako treba da vratite originalne dozvole, pogledajte članak https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podaci Prethodni ACL (SDDL): Pogledajte stavke događaja 510 sa ID-om instance: <ID instance>

ID događaja: 1136 – Remedijacija nije uspela

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Greška
Izvor događaja	AD FS
ID događaja	1136
Tekst događaja	AD FS je pokušao da popravi ACL kontejnera Distributed Key Manager (DKM), ali nije uspeo. DN kontejnera: <DN> Radnja korisnikaAutomatsko remedijiranje će ponovo pokušati u sledećem ciklusu otkrivanja (u roku od 24 časa). Ako biste radije da ručno popravite ACL, pregledajte i ispravite ACE na kontejneru DKM grupe. Samo administratori domena, administratori preduzeća, administrator sistema i nalog usluge AD FS treba da imaju pristup. Da biste onemogućili automatsku korekturu, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Za uputstva pogledajte https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podaci Trenutni ACL (SDDL) i detalji o izuzetku: Pogledajte stavke događaja 510 sa ID-om instance: <ID instance>

ID događaja: 1137 – Neuspela promena vlasništva

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Greška
Izvor događaja	AD FS
ID događaja	1137
Tekst događaja	AD FS je pokušao da popravi ACL kontejnera Distributed Key Manager (DKM), ali nije mogao da preuzme vlasništvo jer nalog usluge AD FS nema potrebne dozvole. To se očekuje za farme koje su prvobitno napravljene u sistemu Windows Server 2012 ili Windows Server 2012 R2. DN kontejnera: <DN> Radnje korisnika Dodelite potrebne dozvole nalogu usluge AD FS da bi oporavak bio uspešan. Automatsko oporavak će pokušati ponovo u sledećem ciklusu otkrivanja (u roku od 24 časa) ili pri ponovnom pokretanju usluge. Ako biste radije da ručno popravite ACL, pregledajte i ispravite ACE na kontejneru DKM grupe. Samo administratori domena, administratori preduzeća, administrator sistema i nalog usluge AD FS treba da imaju pristup. Da biste onemogućili automatsku korekturu, postavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Za uputstva pogledajte https://go.microsoft.com/fwlink/?linkid=2369796

ID događaja: 510 – Dodatne informacije o ACL-u

Informaцije	Detalji
Evidencija događaja	AD FS/Administrator
Tip događaja	Informacije
Izvor događaja	AD FS
ID događaja	510
Tekst događaja	Dodatne informacije za stavku događaja sa ID-om instance . Možda postoji više događaja sa istim ID-om instance sa dodatnim informacijama. ID instance: <Instance ID> Detalji: <ACL ili segment detalja o izuzetku> Za velike ACL-ove može da se evidentira više stavki sa ID-om događaja 510. Prvo se evidentira srodni događaj sa ID-om 1132, 1135 ili 1136, a iza njega slede stavke ID-a događaja 510 sa istim ID-om instance.

nazad na vrh

Evidencija promena

Promena datuma	Promeni opis
13 oktobra, 2026	Opsežno prepisivanje ovog članka za izdanje od 13. oktobra 2026. Dodati su novi ID-ovi događaja 1137 i 510 u odeljku "Reference događaja".

nazad na vrh