CVE-2026-56155: AD FS Distributed Key Manager container ACL hardening

1. เลือกรับการแก้ไขโดยการตั้งค่ารีจิสทรีคีย์ RemediateDkmAcl เป็น 1 ดูหัวข้อ Windows Server 2016 และใหม่กว่าในส่วน การแก้ไขการเข้าร่วม สําหรับข้อมูลเพิ่มเติม

2. ภายใน วันที่ 13 ตุลาคม 2026 หากไม่ได้กําหนดค่ารีจิสทรีคีย์ การอัปเดตจะแก้ไข ACLs ที่ไม่ปลอดภัยโดยอัตโนมัติ หากต้องการปฏิเสธไม่รับการแก้ไขอัตโนมัติ ให้ตั้งค่ารีจิสทรีคีย์เป็น 0

1. ให้สิทธิ์บัญชีบริการ AD FS เพื่อแก้ไข ให้ดูหัวข้อ Windows Server 2012 และ Windows Server 2012 R2 ในส่วน เลือกรับการแก้ไข

2. หลังจากนั้น เลือกรับการแก้ไขโดยการตั้งค่ารีจิสทรีคีย์ RemediateDkmAcl เป็น 1

หลังจากติดตั้งการอัปเดตประจําเดือนกรกฎาคม 2026 การตรวจหาจะทํางานโดยอัตโนมัติหนึ่งนาทีหลังจากเริ่มบริการ AD FS จากนั้นทุก 24 ชั่วโมงหลังจากนั้น ตรวจสอบบันทึกเหตุการณ์ AD FS/Admin สําหรับเหตุการณ์ต่อไปนี้

หมาย เหตุ จะไม่มีการเปลี่ยนแปลงอัตโนมัติกับ ACL ระหว่างโหมดตรวจสอบ

ใช้คําแนะนําในการแก้ไขเฉพาะแพลตฟอร์มด้านล่าง

Windows Server 2016 และใหม่กว่า

เราขอแนะนําให้ผู้ดูแลระบบแก้ไขในระหว่างขั้นตอนโหมดการตรวจสอบเพื่อระบุและแก้ไขปัญหาความเข้ากันได้ก่อนที่การบังคับใช้จะเริ่มต้นในเดือนตุลาคม 2026 เมื่อต้องการเปิดใช้งานการแก้ไข ให้ตั้งค่ารีจิสทรีคีย์ต่อไปนี้บนเซิร์ฟเวอร์ AD FS ใดๆ ในฟาร์ม

หลังจากตั้งค่ารีจิสทรีคีย์ แล้ว ให้ทําอย่างใดอย่างหนึ่งต่อไปนี้

• รอถึง 24 ชั่วโมงสําหรับรอบการตรวจหาถัดไป หรือ

• เริ่มบริการ AD FS ใหม่เพื่อทริกเกอร์การแก้ไขเร็วขึ้น

ในการแก้ไขที่สําเร็จ มีการบันทึกเหตุการณ์ 1135 (ข้อมูล) ด้วย ACL ก่อนหน้าในรูปแบบ SDDL

Windows Server 2012 และ Windows Server 2012 R2

สําหรับแพลตฟอร์มเหล่านี้ ให้มอบสิทธิ์ที่จําเป็นให้กับบัญชีผู้ใช้บริการ AD FS โดยทําตามขั้นตอนด้านล่างบนเซิร์ฟเวอร์ AD FS ใดๆ ในฟาร์มก่อนที่จะเปิดใช้งานรีจิสทรี RemediateDkmAcl มิฉะนั้น ความพยายามในการแก้ไขจะล้มเหลว

1. ระบุ DN คอนเทนเนอร์ DKM:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. ระบุบัญชีบริการ AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. อนุญาต ACEs อย่างชัดเจนสําหรับ WriteOwner และ WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. หลังจากได้รับสิทธิ์ที่จําเป็นแล้ว ให้ตั้งค่ารีจิสทรีคีย์ต่อไปนี้บนเซิร์ฟเวอร์ AD FS ใดๆ ในฟาร์มเพื่อเปิดใช้งานการแก้ไข

   ข้อมูล	รายละเอียด
   รีจิสทรีคีย์	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   ค่า:	RemediateDkmAcl
   ชนิด:	DWORD
   ข้อมูล:	1
   หมายเหตุ	ถ้าไม่มี "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" ให้สร้างคีย์ "ADFS" ก่อน จากนั้นตั้งค่า RemediateDkmAcl ภายใต้คีย์นั้น

5. หลังจากตั้งค่ารีจิสทรีคีย์ แล้ว ให้ทําอย่างใดอย่างหนึ่งต่อไปนี้

• รอถึง 24 ชั่วโมงสําหรับรอบการตรวจหาถัดไป หรือ

• เริ่มบริการ AD FS ใหม่เพื่อทริกเกอร์การแก้ไขเร็วขึ้น

ในการแก้ไขที่สําเร็จ มีการบันทึกเหตุการณ์ 1135 (ข้อมูล) ด้วย ACL ก่อนหน้าในรูปแบบ SDDL

บันทึก SDDL ก่อนหน้า (แนะนํา)

เพื่อเป็นมาตรการป้องกัน เราขอแนะนําให้บันทึก ACL (SDDL) ก่อนหน้าจากเหตุการณ์ 1135 หลังจากการแก้ไขสําเร็จ ในขณะที่ไม่ต้องการ ACL ก่อนหน้านี้ในกรณีส่วนใหญ่ (เนื่องจากสิทธิ์เดิมไม่ปลอดภัย) การมี ACL ก่อนหน้านี้ให้ความปลอดภัยสําหรับปัญหาความเข้ากันได้ที่ไม่คาดคิด

หมาย เหตุ บันทึกเหตุการณ์สามารถย้อนกลับได้เนื่องจากขีดจํากัดของขนาด หากคุณต้องการ SDDL ก่อนหน้านี้ในอนาคตและเหตุการณ์ถูกเขียนทับจะหายไปอย่างถาวร

เมื่อต้องการบันทึก SDDL เป็นไฟล์:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

วิธีการคืนค่า ACL ก่อนหน้า

หากคุณประสบปัญหาหลังจากการแก้ไขและจําเป็นต้องแปลงกลับเป็น ACL ก่อนหน้า:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

หมาย เหตุ คําสั่งนี้ต้องการให้บัญชีที่ใช้คําสั่งมี SeSecurityPrivilege (โดยทั่วไปคือผู้ดูแลระบบโดเมนมีคําสั่งนี้) เรียกใช้จากเซสชัน PowerShell ที่ยกระดับบนเครื่องที่เข้าร่วมโดเมน

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

หลังจากคืนค่าแล้ว ให้ตั้งค่า RemediateDkmAcl = 0 เพื่อป้องกันไม่ให้บริการแก้ไขใหม่ในรอบถัดไป

ตั้งแต่การอัปเดตเดือนตุลาคม 2026 การแก้ไขจะทํางานตามค่าเริ่มต้นโดยไม่ต้องใช้รีจิสทรีคีย์ ลักษณะการทํางานเทียบเท่ากับการมี RemediateDkmAcl = 1 set

การแก้ไขการบังคับใช้อัตโนมัติไม่สามารถใช้กับ Windows Server 2012 หรือ Windows Server 2012 R2 สําหรับแพลตฟอร์มเหล่านี้ ให้แก้ไขด้วยตนเองโดยทําตามขั้นตอนในหัวข้อ Windows Server 2012 และ Windows Server 2012 R2 ในส่วน เลือกรับการแก้ไข

หากคุณต้องการปิดใช้งานการแก้ไขอัตโนมัติหลังจากการอัปเดตเดือนตุลาคม 2026 ให้ตั้งค่า RemediateDkmAcl ในรีจิสทรี

การดําเนินการนี้จะปิดใช้งานการแก้ไขอย่างชัดเจน การตรวจหา (เหตุการณ์ 1132) ยังคงทํางานเพื่อให้ผู้ดูแลระบบทราบถึงสถานะที่ไม่ปลอดภัย

สำคัญ การเลือกไม่เข้าร่วมจะทําให้คอนเทนเนอร์ DKM ของคุณเสี่ยง ใช้สิ่งนี้ถ้าคุณมีข้อกําหนดความเข้ากันได้ที่เฉพาะเจาะจงและวางแผนที่จะเพิ่ม ACL ด้วยตนเอง