CVE-2026-56155: посилення ACL контейнера розподіленого диспетчера ключів AD FS

Дата початкової публікації: 14 липня 2026 р.
Ідентифікатор бази знань: 5121391

У цій статті

• Зведення
• Дійте рішучо
• Очікувані зміни захищеного стану
• Відмова від автоматичного виправлення
• Інцидент події "Помилка власності" (ідентифікатор події: 1137)
• Збереження попереднього SDDL (рекомендовано)
• Як відновити попередній ACL
• Посилання на події
• Журнал змін

Зведення

Список керування доступом (ACL) для контейнера розподіленого диспетчера ключів (DKM) вступив у першу фазу посилення з оновленням системи безпеки Windows від 14 липня 2026 року, у якому запроваджено автоматичне виявлення незахищених списків ACL і спеціальний механізм виправлення.

Починаючи з оновлення системи безпеки Windows від 13 жовтня 2026 р., AD FS автоматично за замовчуванням виправляє незахищені списки керування доступом (ACL) контейнерів DKM. Адміністратори можуть вимкнути цю функцію, установивши для параметра RemediateDkmAcl значення 0. Ці зусилля з посилення спрямовані на боротьбу з підвищенням прав (EOP), яке може виникнути внаслідок вразливості, описаної в CVE-2026-56155 | Служби об'єднання Active DirectoryСлужба об'єднання AD FS Elevation of Privilege Vulnerability.

Таким чином, Active Directory Federation Services Служба об'єднання AD FS (AD FS) використовує контейнер DKM для зберігання симетричних ключів, які використовуються для захисту підпису маркера та сертифікатів шифрування маркерів для закритих ключів. Якщо ACL контейнера надмірно дозвільний, зловмисник, який має доступ до читання матеріалу ключа DKM, може розшифрувати приватні ключі, що підписують токен.

догори

Дійте рішучо

Щоб захистити навколишнє середовище, виконайте такі дії:

1. Інсталюйте відповідне оновлення системи безпеки Windows, випущене 13 жовтня 2026 р. або пізніше, на всіх серверах AD FS.

2. Після інсталяції служба AD FS перевіряє контейнер ACL DKM щоразу під час запуску служби та кожні 24 години після цього. Якщо ACL незахищений, AD FS намагається зробити це автоматично, якщо для параметра RemediteDkmAcl не встановлено значення 0.

3. Перегляньте журнал подій AD FS AdminAdmin на наявність таких подій:

   • Event ID: 1133 (ACL ) контейнера DKM захищений. Ніяких дій з вашого боку не потрібно.

   • Event ID: 1132 вказує на те, що ACL контейнера DKM незахищений, тому буде виконано автоматичне виправлення. Відомості про ACL записуються в один або кілька наступних записів з ідентифікатором події 510 з однаковим ідентифікатором екземпляра. Перевірте результати виправлення в ідентифікаторах подій 1135, 1136 або 1137 і виконайте наведені нижче дії на основі результату.

   • Ідентифікатор події: 1135 (виправлення успішне) Подальші дії з виправлення не потрібні. Збережіть попередній ACL із наступних записів події з кодом 510, як описано в розділі "Збереження попереднього SDDL".

   • Ідентифікатор події: 1136 (не вдалося виправити) Перегляньте наступні записи події з кодом 510, щоб дізнатися актуальні відомості про ACL і винятки, виправте основну помилку, а потім перезапустіть службу AD FS або зачекайте наступного циклу виявлення.

   • Event ID (1137 (не вдалося змінити власника) Надайте обліковим записам служби AD FS дозволи WriteOwner і WriteDacl, дотримуючись вказівок щодо інциденту події "Помилка власності", а потім перезапустіть службу AD FS або дочекайтеся наступного циклу виявлення.

Контейнер AD FS DKM, події ACL

Ідентифікатор події	Тип	Значення
1132	Попередження	Контейнер ACL DKM не відповідає очікуваному захищеному стану. Перегляньте події з виправлення помилок 1135, 1136 та 1137.
1133	Відомості	Контейнер DKM ACL знаходиться в очікуваному безпечному стані. Дії не потрібні.
1134	Помилка	Сталася помилка завдання виявлення (наприклад, помилка підключення LDAP). Перегляньте журнали налагодження AD FS і виправте відповідну помилку.
1135	Відомості	Відновлення контейнера DKM ACL успішно виконано. Збережіть попереднє SDDL.
1136	Помилка	Помилка виправлення ACL контейнера DKM. Перегляньте записи корельованих подій з кодом 510 і AD FS, виконайте трасування налагодження й виправте основну помилку.
1137	Помилка	Службі AD FS не вдалося отримати право власності на контейнер DKM, оскільки обліковому запису служби бракує необхідних дозволів. Надайте необхідні дозволи.
510	Відомості	Містить відомості про ACL або винятки, які переповнюються з ідентифікаторів подій 1132, 1135 чи 1136. Зіставлення записів за ідентифікатором екземпляра.

догори

Очікувані зміни захищеного стану

Після виправлення доступ до контейнера DKM матимуть лише такі учасники:

сума	Права доступу
"Адміністратори домену"	Загальне все (повний доступ)
"Корпоративні адміністратори"	Загальне все (повний доступ)
Система	Загальне все (повний доступ)
Обліковий запис служби AD FS	Читання, записування, створення дочірнього елемента, записування власника, видалення дерева

Примітка Успадкування вимикається, і всі успадковані ACE відкидаються. Будь-які інші явні дозволи ACE, яких немає в списку вище, будуть видалені.

догори

Відмова від автоматичного виправлення

Виправлення активовано за замовчуванням, якщо параметр RemediteDkmAcl відсутній або має ненульове значення. Якщо потрібно відмовитися через певну вимогу до сумісності, установіть значення 0 на кожному сервері AD FS у фермі, перш ніж інсталювати оновлення. Відмовлятися від цієї функції не рекомендується, оскільки це залишає контейнер DKM ACL у незахищеному стані.

Інформація	Деталі
Розділ реєстру.	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
Value: (Значення):	RemediteDkmAcl
Тип:	DWORD
Дані:	0

догори

Інцидент події "Помилка власності" (ідентифікатор події: 1137)

Ідентифікатор події: 1137 указує на те, що служба AD FS не могла отримати право власності на контейнер DKM, оскільки обліковому запису служби бракує необхідних дозволів. Ця умова найчастіше очікується на фермах, спочатку створених на Windows ServerWindows Server 2012 або Windows ServerWindows Server 2012 R2. У такому разі надайте потрібні дозволи обліковому запису служби AD FS, виконавши наведені нижче дії на будь-якому сервері AD FS у фермі. В іншому разі спроби виправлення будуть невдалими.

1. Ідентифікуємо контейнер ДКМ ДН:

   
   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer
   $dkmContainerDn
   
   

2. Визначте обліковий запис служби AD FS:

   
   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   
   

3. Надайте явний дозвіл ACE для WriteOwner і WriteDacl:

   
   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   
   

4. Після надання потрібних дозволів:

   • Зачекайте до 24 годин до наступного циклу виявлення
   • Перезапустіть службу AD FS, щоб швидше ініціювати виправлення

Після успішного виправлення ідентифікатор події: 1135 (інформація) записується разом із попереднім ACL у форматі SDDL.

догори

Збереження попереднього SDDL (рекомендовано)

З міркувань безпеки ми рекомендуємо зберегти попередній запис ACL (SDDL) із поля "Ідентифікатор події: 510", співвіднесений з ідентифікатором події 1135 після успішного виправлення. Ідентифікатор події: 1135 містить ідентифікатор екземпляра, який використовується для визначення ідентифікатора пов'язаної події: 510 записів. Хоча попередній ACL не має потреби в більшості випадків (оскільки початкові дозволи були незахищені), його наявність гарантує безпеку від будь-яких непередбачених проблем із сумісністю.

Ви можете вручну скопіювати та об'єднати SDDL з ідентифікатора події: 510 записів, ідентифікатор екземпляра яких посилається на ідентифікатор події 1135. Також можна скористатися наведеним нижче сценарієм PowerShell, щоб зібрати записи корелятивної події (510) і зберегти SDDL у файл:

New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null

$event = Get-WinEvent -FilterHashtable @{
    LogName = 'AD FS/Admin'
    Id      = 1135
} -MaxEvents 1

if ($null -eq $event) {
    throw 'Event ID 1135 was not found.'
}

if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
    throw 'Instance ID was not found in Event ID 1135.'
}

$instanceId = $Matches[1]

$details = Get-WinEvent -FilterHashtable @{
    LogName   = 'AD FS/Admin'
    Id        = 510
    StartTime = $event.TimeCreated
    EndTime   = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
    Where-Object { $_.Message -like "*$instanceId*" } |
    Sort-Object RecordId |
    ForEach-Object {
        if ($_.Message -match '(?s)Details:\s*(.*)$') {
            $Matches[1]
        }
    }

if (-not $details) {
    throw "No Event ID 510 entries were found for Instance ID $instanceId."
}

[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())

догори

Як відновити попередній ACL

Якщо після виправлення виникають проблеми та потрібно повернутися до попереднього списку керування доступом ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Після відновлення встановіть значення RemediateDkmAcl = 0 на кожному сервері AD FS у фермі, щоб служба не могла повторно виправити їх у наступному циклі.

догори

Посилання на події

Event ID: 1132 — контейнер DKM ACL потребує перевірки

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Попередження
Джерело події	AD FS
Ідентифікатор події	1132
Текст події	Служба AD FS виявила, що контейнер ACL розподіленого диспетчера ключів (DKM) не відповідає очікуваному захищеному стану. Контейнер DKM зберігає симетричні ключі, які використовуються для захисту матеріалу ключа підпису токена. Контейнер DN: <DN> Очікуваний захищений стан – успадкування вимкнуто, і доступ мають лише адміністратори доменів, корпоративні адміністратори, SYSTEM і облікові записи служби AD FS. Служба AD FS спробує виправити цю проблему автоматично. Виправлення виконується негайно й кожні 24 години, доки ACL не досягне очікуваного стану безпеки. Результат див. у подіях 1135 (виправлення успішне) або 1136/1137 (не вдалося виправити). Щоб відмовитися від автоматичного виправлення, установіть для параметра HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) значення 0. Докладніші відомості див. https://go.microsoft.com/fwlink/?linkid=2369796в статті . Додаткові дані Успадкування вимкнуто: <Так/Ні> Поточний ACL (SDDL): Переглянути запис події 510 з ідентифікатором екземпляра: <Ідентифікатор екземпляра>

Event ID (Ідентифікатор події): 1133 — контейнер DKM ACL справний

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Відомості
Джерело події	AD FS
Ідентифікатор події	1133
Текст події	Фонове завдання DKM ACL перевірило контейнер ACL на предмет посилення безпеки. Контейнер має правильні налаштування, і ніяких подальших дій робити не потрібно. Контейнер DN: <DN>

ID події: 1134 — Помилка виявлення

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Помилка
Джерело події	AD FS
Ідентифікатор події	1134
Текст події	Помилка фонового завдання перевірки контейнера AD FS DKM. Контейнер DN: <DN> Додаткові дані Відомості про виняток: <виняток> Дії користувача Перегляньте журнали налагодження AD FS, щоб дізнатися більше. Переконайтеся, що обліковий запис служби AD FS має доступ до групового контейнера DKM у службі Active Directory.

Ідентифікатор події: 1135 — виправлення успішно виконано

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Відомості
Джерело події	AD FS
Ідентифікатор події	1135
Текст події	Служба AD FS успішно посилила використання контейнера розподіленого диспетчера ключів (DKM) ACL. Контейнер DN: <DN> Контейнер ACL тепер надає доступ лише адміністраторам домену, корпоративним адміністраторам, SYSTEM і обліковим записам служби AD FS. Успадкування заблоковано, а всі інші дозволи вилучено. Примітка. Автовиправлення не запускатиметься знову, доки ACL відповідає базовому плану. Якщо потрібно остаточно відмовитися від автовиправлення, навіть якщо ACL дрейфуватиме в майбутньому, установіть для параметра HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) значення 0. Попередній ACL включено у формат SDDL нижче. Щоб дізнатися, як відновити початкові дозволи, див. https://go.microsoft.com/fwlink/?linkid=2369796 Додаткові дані Попередній ACL (SDDL): Переглянути запис події 510 з ідентифікатором екземпляра: <Ідентифікатор екземпляра>

Ідентифікатор події: 1136 — не вдалося виконати виправлення

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Помилка
Джерело події	AD FS
Ідентифікатор події	1136
Текст події	Спроба AD FS виправити ACL контейнера розподіленого диспетчера ключів (DKM), але зазнала невдачі. Контейнер DN: <DN> User ActionAutoremediation повторить спробу наступного циклу виявлення (протягом 24 годин). Якщо ви віддаєте перевагу виправленню ACL вручну, перегляньте та виправте ACE у контейнері групи DKM. Доступ мають лише адміністратори доменів, корпоративні адміністратори, SYSTEM і обліковий запис служби AD FS. Щоб вимкнути автовиправлення, установіть для параметра HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) значення 0. Докладніші відомості див. в статті https://go.microsoft.com/fwlink/?linkid=2369796 Додаткові дані Поточний ACL (SDDL) і відомості про винятки: Переглянути запис події 510 з ідентифікатором екземпляра: <Ідентифікатор екземпляра>

Event ID: 1137 — Помилка зміни власника

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Помилка
Джерело події	AD FS
Ідентифікатор події	1137
Текст події	Служба AD FS намагалася виправити проблему з контейнером ACL розподіленого диспетчера ключів, але не змогла отримати право власності, оскільки обліковий запис служби AD FS не має потрібних дозволів. Це передбачено для ферм, початково створених на Windows ServerWindows Server 2012 або Windows ServerWindows Server 2012 R2. Контейнер DN: <DN> Дії користувача Надайте обліковому запису служби AD FS необхідні дозволи, щоб виправлення пройшло успішно. Повторна спроба автовиправлення виконуватиметься під час наступного циклу виявлення (протягом 24 годин) або після перезапуску служби. Якщо ви віддаєте перевагу виправленню ACL вручну, перегляньте та виправте ACE у контейнері групи DKM. Доступ мають лише адміністратори доменів, корпоративні адміністратори, SYSTEM і обліковий запис служби AD FS. Щоб вимкнути автовиправлення, установіть для параметра HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) значення 0. Докладніші відомості див. в статті https://go.microsoft.com/fwlink/?linkid=2369796

Event ID: 510 — Додаткова інформація про ACL

Інформація	Деталі
Журнал подій	AD FS/AdminAdmin
Тип події	Відомості
Джерело події	AD FS
Ідентифікатор події	510
Текст події	Додаткові відомості про запис події з ідентифікатором екземпляра. Можуть бути інші події з таким самим ідентифікатором екземпляра з додатковими відомостями. Ідентифікатор екземпляра: <Ідентифікатор екземпляра> Відомості: <ACL або сегмент відомостей про винятки> Для великих списків керування доступом (ACL) можна записати кілька записів з ідентифікатором події 510. Спочатку в журнал записується пов'язана подія з кодом 1132, 1135 або 1136, а потім – запис події з ідентифікатором 510 з таким самим ідентифікатором екземпляра.

догори

Журнал змін

Змінення дати	Змінити опис
13 жовтня 2026 р.	Детальний рерайт цієї статті для випуску від 13 жовтня 2026 року Додано нові ідентифікатори подій 1137 і 510 у розділі "Посилання на події".

догори