CVE-2026-56155: Tăng cường ACL bộ chứa Trình quản lý khóa được phân phối AD FS

1. Chọn tham gia khắc phục bằng cách đặt khóa đăng ký RemediateDkmAcl thành 1. Hãy xem chủ đề Windows Server 2016 trở lên trong phần khắc phục chọn tham gia để biết thêm thông tin.

2. Đến ngày 13 tháng 10 năm 2026, nếu khóa đăng ký không được định cấu hình, bản cập nhật sẽ tự động khắc phục các ACL không an toàn. Để chọn không tham gia tính năng tự động khắc phục, hãy đặt khóa sổ đăng ký thành 0.

1. Cấp quyền cho tài khoản dịch vụ AD FS để khắc phục, hãy xem chủ đề Windows Server 2012 và Windows Server 2012 R2 trong phần khắc phục chọn tham gia.

2. Sau đó, chọn tham gia khắc phục bằng cách đặt khóa đăng ký RemediateDkmAcl thành 1.

Sau khi cài đặt bản cập nhật cho tháng 7 năm 2026, tính năng phát hiện sẽ tự động chạy một phút sau khi dịch vụ AD FS khởi động và sau đó cứ 24 giờ một lần. Hãy kiểm tra nhật ký sự kiện AD FS/Quản trị để biết các sự kiện sau đây.

Lưu ý Không có thay đổi tự động nào được thực hiện đối với ACL trong Chế độ Kiểm tra.

Hãy sử dụng hướng dẫn khắc phục dành riêng cho nền tảng dưới đây.

Windows Server 2016 trở lên

Chúng tôi đặc biệt khuyên người quản trị nên khắc phục trong giai đoạn Chế độ kiểm tra để xác định và giải quyết mọi sự cố về tương thích trước khi bắt đầu thực thi vào tháng 10 năm 2026. Để cho phép khắc phục, hãy đặt khóa sổ đăng ký sau đây trên một máy chủ AD FS bất kỳ trong cụm máy chủ.

Sau khi đặt khóa đăng ký, bạn có thể:

• Chờ tối đa 24 giờ cho chu kỳ phát hiện tiếp theo hoặc

• Khởi động lại dịch vụ AD FS để kích hoạt khắc phục sớm hơn

Khi khắc phục thành công, sự kiện 1135 (Thông tin) được ghi nhật ký với ACL trước đó ở định dạng SDDL.

Windows Server 2012 và Windows Server 2012 R2

Đối với những nền tảng này, cấp các quyền bắt buộc cho tài khoản dịch vụ AD FS bằng cách làm theo các bước dưới đây trên một máy chủ AD FS bất kỳ trong cụm máy chủ trước khi kích hoạt sổ đăng ký RemediateDkmAcl. Nếu không, các nỗ lực khắc phục sẽ không thành công.

1. Xác định DN vùng chứa:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Xác định tài khoản dịch vụ AD FS:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Cấp phép ACE rõ ràng cho WriteOwner và WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. Sau khi các quyền bắt buộc được cấp, hãy đặt khóa sổ đăng ký sau đây trên một máy chủ AD FS bất kỳ trong cụm máy chủ để cho phép khắc phục sự cố.

   Thông tin	Chi tiết
   Khóa đăng ký	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Giá trị:	RemediateDkmAcl
   Kiểu:	DWORD
   Dữ liệu:	1
   Ghi chú	Nếu không có "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS", trước tiên hãy tạo khóa "ADFS", rồi đặt RemediateDkmAcl bên dưới khóa đó.

5. Sau khi đặt khóa đăng ký, bạn có thể:

• Chờ tối đa 24 giờ cho chu kỳ phát hiện tiếp theo hoặc

• Khởi động lại dịch vụ AD FS để kích hoạt khắc phục sớm hơn

Khi khắc phục thành công, sự kiện 1135 (Thông tin) được ghi nhật ký với ACL trước đó ở định dạng SDDL.

Lưu SDDL trước đó (Được đề xuất)

Để phòng ngừa, chúng tôi khuyên bạn nên lưu ACL (SDDL) trước đó khỏi sự kiện 1135 sau khi khắc phục thành công. Mặc dù ACL trước đó dự kiến không cần thiết trong hầu hết các trường hợp (vì các quyền ban đầu không an toàn), việc có ACL sẽ cung cấp một mạng lưới an toàn cho bất kỳ vấn đề tương thích không lường trước nào.

Lưu ý Nhật ký sự kiện có thể kéo qua do giới hạn kích cỡ. Nếu bạn cần SDDL trước đó trong tương lai và sự kiện đã bị ghi đè, nó sẽ bị mất vĩnh viễn.

Cách lưu SDDL vào một tệp:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Cách khôi phục ACL trước đó

Nếu bạn gặp sự cố sau khi khắc phục và cần hoàn nguyên về ACL trước đó:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Lưu ý Lệnh này yêu cầu tài khoản đang chạy lệnh này phải có SeSecurityPrivilege (thường Người quản trị Miền có lệnh này). Chạy ứng dụng này từ phiên PowerShell nâng cao trên máy tính đã nối với tên miền.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

Sau khi khôi phục, hãy đặt RemediateDkmAcl = 0 để ngăn dịch vụ khắc phục lại vào chu kỳ tiếp theo.

Bắt đầu từ bản cập nhật tháng 10 năm 2026, quá trình khắc phục chạy theo mặc định mà không yêu cầu khóa đăng ký. Hành vi này tương đương với việc đặt RemediateDkmAcl = 1 .

Tự động khắc phục thực thi không áp dụng cho Windows Server 2012 hoặc Windows Server 2012 R2. Đối với các nền tảng này, khắc phục thủ công bằng cách làm theo các bước trong chủ đề Windows Server 2012 và Windows Server 2012 R2 trong phần khắc phục chọn tham gia.

Nếu bạn cần tắt tự động khắc phục sau bản cập nhật vào tháng 10 năm 2026, hãy đặt giá trị RemediateDkmAcl trong sổ đăng ký.

Điều này vô hiệu hóa khắc phục một cách rõ ràng. Tính năng phát hiện (sự kiện 1132) tiếp tục được kích hoạt để người quản trị biết về trạng thái không an toàn.

Quan trọng Chọn không tham gia khiến bộ chứa của bạn dễ bị tấn công. Chỉ sử dụng tùy chọn này nếu bạn có một yêu cầu cụ thể về tính tương thích và dự định tăng cường ACL theo cách thủ công.