Aktiv ausgenutzte Rechteausweitung in AD FS

Microsoft schliesst mit den Windows-Sicherheitsupdates vom 14. Juli 2026 eine Rechteausweitung in Active Directory Federation Services. CVE-2026-56155 betrifft zu weit gefasste Zugriffsrechte am Distributed-Key-Manager-Container (DKM) in Active Directory. AD FS speichert dort Schluesselmaterial zum Schutz der privaten Token-Signing- und Token-Encryption-Schluessel.

Ein bereits autorisierter Angreifer mit lokalem Zugriff kann die fehlerhafte Berechtigungsstruktur fuer eine Ausweitung bis zu Administratorrechten nutzen. Microsoft bewertet die Schwachstelle mit CVSS 7,8 und bestaetigt aktive Ausnutzung. Entscheidend ist deshalb nicht nur der Patchstand: Bestehende DKM-ACLs muessen geprueft und bei Abweichungen gehaertet werden.

Was das Juli-Update sichtbar macht

Nach der Installation laeuft die DKM-ACL-Pruefung etwa eine Minute nach Start des AD-FS-Dienstes und danach alle 24 Stunden. Relevant ist das Protokoll AD FS/Admin:

  • Event 1132 warnt vor einer DKM-ACL ausserhalb des sicheren Sollzustands.
  • Event 1133 bestaetigt eine passende ACL.
  • Event 1134 zeigt einen Fehler der Pruefung, etwa bei LDAP-Problemen.

Der Juli-Stand arbeitet im Audit-Modus und aendert die ACL noch nicht automatisch. Ein fehlendes Event 1132 ist nur belastbar, wenn Event 1133 vorhanden ist und keine 1134-Fehler offen sind.

Kontrollierte Haertung der Farm

  1. Alle AD-FS-Knoten aktualisieren und Patchstand sowie Neustart je Farm dokumentieren.
  2. Events 1132 bis 1134 zentral auswerten und den gemeldeten Container-DN der richtigen Farm zuordnen.
  3. Abweichende ACEs klaeren: technische Konten, Backup-Software und historische Delegationen brauchen einen benannten Owner.
  4. Ab Windows Server 2016 Remediation testen: HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl als DWORD auf 1 setzen, kontrollierten Dienstneustart einplanen und Event 1135 pruefen. Die dort enthaltene vorherige SDDL sofort gesichert ablegen. Event 1136 kennzeichnet eine fehlgeschlagene Remediation.
  5. Token-Ausstellung und Vertrauensstellungen testen, bevor der Change auf weitere Farmen uebertragen wird.

Windows Server 2012 und 2012 R2 benoetigen vor der Remediation zusaetzliche Berechtigungen fuer das AD-FS-Dienstkonto und bleiben auch spaeter ein separater manueller Pfad.

Oktober-Automatik vorwegnehmen

Ab den Oktober-Updates 2026 wird die Remediation auf Windows Server 2016 und neuer standardmaessig aktiv. Der Sollzustand entfernt Vererbung und nicht vorgesehene Allow-ACEs; Zugriff behalten nur Domain Admins, Enterprise Admins, SYSTEM und das AD-FS-Dienstkonto mit den erforderlichen Rechten. Ungepruefte Sonderberechtigungen koennen dann Betriebsstoerungen verursachen.

Der wichtigste Sofortcheck: Juli-Updates auf allen AD-FS-Servern installieren, Events 1132 bis 1134 auswerten und gefundene DKM-ACL-Abweichungen jetzt kontrolliert bereinigen.