Trusted Design

CVE-2026-56155 の詳細

CVEの情報

説明:
Insufficient granularity of access control in Active Directory Federation Services (AD FS) allows an authorized attacker to elevate privileges locally.

CVE更新日: 2026-07-14 17:17:09.763000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2026-07-14

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.003460000

EPSS更新日: 2026-08-31 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE‑2026‑56155はActive Directory Federation Services（AD FS）におけるアクセス制御の粒度不足（CWE‑1220）により、認可された攻撃者がローカルで特権昇格可能となる脆弱性。

1. 脆弱性の概要

AD FS の Distributed Key Manager（DKM）コンテナの ACL が過度に緩い 場合、攻撃者が DKM のキー素材を読み取り、トークン署名鍵を復号 → 特権昇格 が可能となる。
Microsoft はこの問題を 「Insufficient Granularity of Access Control」 と分類している。

1.1 影響

  • 認可された攻撃者が ローカルで管理者権限へ昇格可能
  • トークン署名鍵の復号により AD FS の信頼性が破壊される
  • ゼロデイとして悪用確認済み（Microsoft・CISA）

1.2 深刻度

  • CVSS v3.1（Microsoft CNA）: 7.8 HIGH
    Vector: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

  • CISA KEV に登録（悪用確認済み）

2. 対象となる環境

2.1 影響を受ける OS / 製品

NVD による既知の影響構成：

  • Windows 10 1607（x64 / x86）
    • 影響範囲：10.0.14393.9339 より前のビルド

※AD FS は Windows Server 上で動作するため、実際の影響は AD FS を構成している Windows Server 環境全般 に及ぶ（Microsoft Support の記述）。

2.2 影響を受ける設定

  • AD FS が DKM コンテナを使用している構成
  • DKM コンテナ ACL が 過度に緩い（過剰な Allow ACE が存在）

3. 影響を受けた時の兆候（IoC）

Microsoft は CVE‑2026‑56155 に関する 明確な IoC を公開していない。
Microsoft Support の記述から確認できる兆候：

  • AD FS Admin ログに Event ID 1132 が記録される（DKM ACL が不正）

4. 推奨対策

4.1 本対策（恒久対策）

Microsoft が公式に示す対策：

  • 2026年7月14日以降の Windows Update を AD FS サーバーへ適用
  • AD FS が DKM ACL の監査（Audit モード） を自動実行
  • Event ID 1132 が出た場合、Microsoft の手順に従い DKM ACL を修正

CISA KEV により、

  • 2026年7月28日までにベンダーの指示に従い対策適用が必須

4.2 暫定回避策（緩和策）

Microsoft は「暫定回避策」を明示していない。
有効な緩和策：

  • DKM コンテナ ACL を 最小権限に修正
  • Domain Admins / Enterprise Admins / SYSTEM / AD FS Service Account のみ
  • AD FS サーバーへのアクセスを 管理ネットワークに限定
  • 不審な ACL 変更を監視（Event ID 1132）

5. その他補足

5.1 悪用状況

  • Microsoft が 「更新プログラム公開前から悪用を確認」 と明記
  • CISA KEV に登録済み

5.2 脆弱性分類

  • CWE‑1220: Insufficient Granularity of Access Control

NVDサイト

NVDでCVEの詳細を見る

戻る