CVE-2026-56155: ACL-härdning för AD FS Distributed Key Manager-behållare

Ursprungligt publiceringsdatum: Juli 14, 2026
KB-ID: 5121391

Artikelinnehåll

• Sammanfattning
• Agera
• Förväntade ändringar i säkert tillstånd
• Välja bort automatisk reparation
• Fall av ägarskapsfel (händelse-ID 1137)
• Spara föregående SDDL (rekommenderas)
• Så här återställer du föregående ACL
• Händelsereferenser
• Ändringslogg

Sammanfattning

Access Control List (ACL) på DKM-behållaren (Distributed Key Manager) gick in i sin första härdningsfas med Windows-säkerhetsuppdateringen den 14 juli 2026, som introducerade automatisk identifiering av osäkra ACL: er och en opt-in-reparationsmekanism.

Från och med Windows-säkerhetsuppdateringen den 13 oktober 2026 åtgärdar AD FS automatiskt osäkra DKM-container-ACL:er som standard. Administratörer kan avanmäla sig genom att ange RemediateDkmAcl till 0. Det här härdningsarbetet åtgärdar en rättighetsökning (EOP) som kan uppstå till följd av den säkerhetsrisk som beskrivs i CVE-2026-56155 | Active Directory Federation Services (ADFS) (AD FS) säkerhetsrisk med utökade privilegier.

Sammanfattningsvis förlitar sig Active Directory Federation Services (ADFS) (AD FS) (AD FS) på DKM-containern för att lagra de symmetriska nycklar som används för att skydda token-signerings- och tokenkrypteringscertifikat för privata nycklar. Om containerns ACL är alltför tillåtande kan en angripare med läsåtkomst till DKM-nyckelmaterialet dekryptera de privata nycklarna för tokensignering.

tillbaka till toppen

Agera

Utför följande steg för att skydda miljön:

1. Installera lämplig Windows-säkerhetsuppdatering som släpptes den 13 oktober 2026 eller senare på alla AD FS-servrar.

2. Efter installationen granskar AD FS-tjänsten DKM-behållarens ACL varje gång tjänsten startar och var 24:e timme därefter. Om ACL är osäker försöker AD FS åtgärda automatiskt om inte RemediateDkmAcl är inställt på 0.

3. Granska AD FS Admin händelselogg för följande händelser:

   • Händelse-ID: 1133 anger att DKM-behållarens ACL är säker. Det krävs inga ytterligare åtgärder.

   • Händelse-ID: 1132 anger att DKM-behållarens ACL är osäker och att automatisk reparation kommer att utföras. ACL-information skrivs till en eller flera efterföljande händelse-ID 510-poster med samma instans-ID. Granska händelse-ID:t 1135, 1136 eller 1137 för reparationsresultatet och vidta följande åtgärd baserat på resultatet.

   • Händelse-ID: 1135 (reparationen lyckades) Ingen ytterligare åtgärd krävs. Spara föregående ACL från efterföljande händelse-ID 510-poster enligt beskrivningen i avsnittet Spara föregående SDDL.

   • Händelse-ID: 1136 (reparationen misslyckades) Granska efterföljande händelse-ID 510-poster för aktuell ACL- och undantagsinformation, korrigera det underliggande felet och starta sedan om AD FS-tjänsten eller vänta på nästa identifieringscykel.

   • Händelse-ID: 1137 (ägarskapsändring misslyckades) Bevilja behörigheterna WriteOwner och WriteDacl för AD FS-tjänstkontot genom att följa vägledningen för fall av ägarskapsfel och starta sedan om AD FS-tjänsten eller vänta på nästa identifieringscykel.

AD FS DKM-behållare ACL-händelser

Händelse-ID	Typ	Betydelse
1132	Varning!	DKM-container-ACL matchar inte det förväntade säkra tillståndet. Granska reparationshändelserna 1135, 1136 och 1137.
1133	Information	DKM-container-ACL är i förväntat säkert tillstånd. Ingen åtgärd krävs.
1134	Fel	Identifieringsuppgiften påträffade ett fel (till exempel ett LDAP-anslutningsfel). Granska AD FS-felsökningsloggarna och korrigera det underliggande felet.
1135	Information	Reparationen av DKM-containerns ACL har slutförts. Spara föregående SDDL.
1136	Fel	Det gick inte att åtgärda DKM-containerns ACL. Granska korrelerade händelse-ID 510-poster och AD FS-felsökningsspårningar och korrigera det underliggande felet.
1137	Fel	AD FS kunde inte ta ägarskapet för DKM-containern eftersom tjänstkontot saknar de behörigheter som krävs. Bevilja nödvändiga behörigheter
510	Information	Innehåller ACL- eller undantagsinformation som spiller över från händelse-ID:t 1132, 1135 eller 1136. Matcha poster efter instans-ID.

tillbaka till toppen

Förväntade ändringar i säkert tillstånd

Efter reparationen har endast följande huvudkonton åtkomst till DKM-containern:

Kapital	Åtkomsträttigheter
Domänadministratörer	Allmänt Alla (fullständig behörighet)
Företagsadministratörer	Allmänt Alla (fullständig behörighet)
System	Allmänt Alla (fullständig behörighet)
AD FS-tjänstkonto	Läsa, skriva, skapa underordnad, skrivägare, ta bort träd

Anteckning Arv inaktiveras och alla ärvda ACE:er ignoreras. Alla andra explicita Tillåt ACE:er som inte finns i listan ovan tas bort.

tillbaka till toppen

Välja bort automatisk reparation

Reparation är aktiverat som standard när RemediateDkmAcl saknas eller är inställt på ett värde som inte är noll. Om du måste välja bort ett specifikt kompatibilitetskrav anger du värdet till 0 på varje AD FS-server i servergruppen innan du installerar uppdateringen. Det rekommenderas inte att välja bort eftersom det lämnar DKM-containerns ACL i ett osäkert tillstånd.

Kontaktuppgifter	Information
Registernyckel:	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Värde:	RemediateDkmAcl
Typ:	DWORD
Data:	0

tillbaka till toppen

Fall av ägarskapsfel (händelse-ID 1137)

Händelse-ID: 1137 anger att AD FS inte kunde ta ägarskapet för DKM-containern eftersom tjänstkontot saknar nödvändiga behörigheter. Det här tillståndet förväntas oftast på servergrupper som ursprungligen skapats på Windows Server 2012 eller Windows Server 2012 R2. I så fall beviljar du de behörigheter som krävs för AD FS-tjänstkontot genom att följa stegen nedan på valfri AD FS-server i servergruppen. Annars fortsätter reparationsförsöken att misslyckas.

1. Identifiera DKM-behållarens DN:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Identifiera AD FS-tjänstkontot:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Bevilja explicita tillåt ACE:er för WriteOwner och WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. När de nödvändiga behörigheterna har beviljats kan antingen:

   • Vänta upp till 24 timmar på nästa identifieringscykel
   • Starta om AD FS-tjänsten för att utlösa reparationen tidigare

Vid lyckad reparation loggas händelse-ID: 1135 (information) med föregående ACL i SDDL-format.

tillbaka till toppen

Spara föregående SDDL (rekommenderas)

Som en försiktighetsåtgärd rekommenderar vi att du sparar den tidigare ACL (SDDL) från händelse-ID: 510 poster som är korrelerade med händelse-ID: 1135 efter lyckad reparation. Händelse-ID: 1135 innehåller det instans-ID som används för att identifiera relaterade Händelse-ID: 510-poster. Även om den tidigare ACL:en inte förväntas behövas i de flesta fall (eftersom de ursprungliga behörigheterna var osäkra), ger den ett skyddsnät för oförutsedda kompatibilitetsproblem.

Du kan manuellt kopiera och kombinera SDDL från händelse-ID: 510-posterna som har instans-ID:t som refereras av händelse-ID: 1135. Du kan också använda följande PowerShell-skript för att samla in det korrelerade händelse-ID:t 510 och spara SDDL i en fil:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

tillbaka till toppen

Så här återställer du föregående ACL

Om du får problem efter reparationen och behöver återgå till föregående ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Efter återställningen anger du RemediateDkmAcl = 0 på varje AD FS-server i servergruppen för att förhindra att tjänsten repareras igen i nästa cykel.

tillbaka till toppen

Händelsereferenser

Händelse-ID: 1132 – DKM-behållarens ACL kräver granskning

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Varning!
Händelsekälla	AD FS
Händelse-ID	1132
Händelsetext	AD FS har upptäckt att DKM-behållarens (Distributed Key Manager) ACL inte matchar det förväntade säkra tillståndet. DKM-containern lagrar symmetriska nycklar som används för att skydda token-signeringsnyckelmaterial. Behållarens DN: <DN (DN)> Det förväntade säkra tillståndet är arv inaktiverat och endast domänadministratörer, företagsadministratörer, SYSTEM och AD FS-tjänstkontot har åtkomst. AD FS försöker reparera ACL automatiskt. Reparationen körs omedelbart och var 24:e timme därefter tills ACL matchar det förväntade säkra tillståndet. Se händelse 1135 (reparationen lyckades) eller händelse 1136/1137 (reparationen misslyckades) för resultatet. Om du vill avanmäla dig från automatisk reparation anger du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) till 0. Mer information finns i https://go.microsoft.com/fwlink/?linkid=2369796. Ytterligare data Arv inaktiverat: <Ja/Nej> Nuvarande ACL (SDDL): Se händelse 510-poster med instans-ID: <Instans-ID>

Händelse-ID: 1133 – DKM-behållarens ACL är felfri

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Information
Händelsekälla	AD FS
Händelse-ID	1133
Händelsetext	DKM ACL-bakgrundsaktiviteten granskade behållarens ACL för säkerhetshärdning. Behållaren har rätt inställningar och kräver ingen ytterligare åtgärd. Behållarens DN: <DN (DN)>

Händelse-ID: 1134 — Detekteringsfel

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Fel
Händelsekälla	AD FS
Händelse-ID	1134
Händelsetext	Bakgrundsaktiviteten för ACL-kontroll i AD FS-behållaren påträffade ett fel. Behållarens DN: <DN (DN)> Ytterligare data Information om undantag: <undantag> Användaråtgärd Mer information finns i AD FS-felsökningsloggarna. Kontrollera att AD FS-tjänstkontot har åtkomst till DKM-gruppbehållaren i služba Active Directory.

Händelse-ID: 1135 — Åtgärden lyckades

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Information
Händelsekälla	AD FS
Händelse-ID	1135
Händelsetext	AD FS har härdat DKM-behållarens (Distributed Key Manager) ACL. Behållarens DN: <DN (DN)> Behållar-ACL ger nu endast åtkomst till domänadministratörer, företagsadministratörer, SYSTEM och AD FS-tjänstkontot. Arv har blockerats och alla andra behörigheter har tagits bort. Notera: Automatisk reparation körs inte igen när ACL matchar baslinjen. Om du permanent vill avanmäla dig från automatisk reparation även om ACL driftar i framtiden anger du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) till 0. Den tidigare ACL ingår i SDDL-formatet nedan. Om du behöver återställa de ursprungliga behörigheterna läser du https://go.microsoft.com/fwlink/?linkid=2369796 Ytterligare data Tidigare ACL (SDDL): Se händelse 510-poster med instans-ID: <Instans-ID>

Händelse-ID: 1136 – Reparationen misslyckades

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Fel
Händelsekälla	AD FS
Händelse-ID	1136
Händelsetext	AD FS försökte åtgärda DKM-behållarens (Distributed Key Manager) ACL men misslyckades. Behållarens DN: <DN (DN)> User ActionAutoremediation försöker igen vid nästa identifieringscykel (inom 24 timmar). Om du föredrar att åtgärda ACL:en manuellt granskar och korrigerar du ACE:er i DKM-gruppcontainern. Endast domänadministratörer, företagsadministratörer, SYSTEM och AD FS-tjänstkontot ska ha åtkomst. Om du vill inaktivera automatisk reparation anger du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) till 0. Vägledning finns i https://go.microsoft.com/fwlink/?linkid=2369796 Ytterligare data Aktuell ACL (SDDL) och undantagsinformation: Se händelse 510-poster med instans-ID: <Instans-ID>

Händelse-ID: 1137 – Ägarskapsändring misslyckades

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Fel
Händelsekälla	AD FS
Händelse-ID	1137
Händelsetext	AD FS försökte åtgärda DKM-behållarens (Distributed Key Manager) ACL men kunde inte få ägarskapet eftersom AD FS-tjänstkontot inte har de behörigheter som krävs. Detta förväntas för servergrupper som ursprungligen skapats på Windows Server 2012 eller Windows Server 2012 R2. Behållarens DN: <DN (DN)> Användaråtgärd Bevilja de behörigheter som krävs till AD FS-tjänstkontot för att åtgärden ska lyckas. Automatisk reparation försöker igen vid nästa identifieringscykel (inom 24 timmar) eller vid omstart av tjänsten. Om du föredrar att åtgärda ACL:en manuellt granskar och korrigerar du ACE:er i DKM-gruppcontainern. Endast domänadministratörer, företagsadministratörer, SYSTEM och AD FS-tjänstkontot ska ha åtkomst. Om du vill inaktivera automatisk reparation anger du HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) till 0. Vägledning finns i https://go.microsoft.com/fwlink/?linkid=2369796

Händelse-ID: 510 — Ytterligare ACL-information

Kontaktuppgifter	Information
Händelselogg	AD FS/Admin
Händelsetyp	Information
Händelsekälla	AD FS
Händelse-ID	510
Händelsetext	Mer information om händelseposten med instans-ID<, instans-ID.> Det kan finnas fler händelser med samma instans-ID med mer information. Instans-ID: <Instans-ID> Information: <ACL eller undantagsdetaljsegment> För stora ACL:er kan flera händelse-ID 510-poster loggas. Det relaterade händelse-ID 1132, 1135 eller 1136 loggas först, följt av händelse-ID 510-posterna med samma instans-ID.

tillbaka till toppen

Ändringslogg

Ändra datum	Beskrivning av ändring
13 oktober 2026	Omfattande omskrivning av den här artikeln för versionen från 13 oktober 2026 Nya händelse-ID:n 1137 och 510 har lagts till i avsnittet Händelsereferenser.

tillbaka till början