Active Directory Federation Services Elevation of Privilege Vulnerability

Falha de controle de acesso insuficiente (CWE-1220) no Active Directory Federation Services que permite a um atacante já autenticado localmente elevar privilégios no host que roda o serviço. O CVSS de 7,8 reflete impacto alto em confidencialidade, integridade e disponibilidade, mas a exploração exige acesso prévio autenticado à máquina — não é uma falha explorável remotamente por um usuário anônimo. Está no catálogo KEV da CISA com exploração confirmada, o que eleva a prioridade de patch mesmo sem detalhes técnicos públicos sobre a cadeia de ataque.

A vulnerabilidade é classificada como CWE-1220 (Insufficient Granularity of Access Control): algum componente do AD FS concede permissões mais amplas do que o necessário para uma operação, verificação ou recurso local, permitindo que um processo ou usuário com privilégio baixo (PR:L no vetor CVSS) alcance funcionalidade ou dado que deveria estar restrito a um nível de privilégio maior. O vetor CVSS:3.1/AV:L/AC:L/PR:L/UI:N indica que o ataque é local (AV:L), de baixa complexidade (AC:L), não exige interação do usuário (UI:N), mas exige que o atacante já tenha alguma credencial ou sessão autenticada no sistema (PR:L) — descrito pela Microsoft como 'authorized attacker'.

As fontes lidas (advisory do MSRC e a entrada da CISA) não detalham em qual DLL, endpoint ou fluxo interno do AD FS a checagem de permissão falha, nem qual tipo específico de recurso é exposto além da elevação de privilégio local. A Microsoft não publicou (nas referências disponíveis) uma análise técnica de causa raiz além da frase padrão da descrição oficial.

Os produtos listados como afetados abrangem sistemas operacionais que hospedam o role AD FS: Windows 10 versões 1607 e 1809, e Windows Server 2012, 2012 R2 e 2016 (incluindo instalações Server Core). Isso sugere que a falha reside em componentes do sistema operacional/role do AD FS presentes nesses branches, e não em uma versão de produto AD FS isolada de servidores mais recentes — mas essa inferência não é confirmada por texto técnico do fornecedor nas fontes disponíveis, apenas pela lista de produtos afetados fornecida.

O pré-requisito central para exploração é acesso autenticado local ao servidor AD FS — ou seja, o atacante já precisa ter uma conta ou sessão com algum nível de privilégio no host, não bastando acesso à rede ou ao endpoint de federação. Isso reduz drasticamente a superfície de exposição: ambientes onde o servidor AD FS não permite logon interativo de contas de baixo privilégio, ou onde o acesso administrativo é rigidamente segregado, têm risco prático menor do que o CVSS de 7,8 sugere isoladamente.

O vetor de maturidade do exploit no CVSS (E:F, 'Functional') e a inclusão no catálogo KEV da CISA indicam que existe exploração confirmada em ambiente real, com código ou técnica funcional documentada por quem a demonstrou — mas nenhuma das fontes lidas descreve o mecanismo exato de exploração, a cadeia de chamadas ou o resultado técnico específico (ex.: escalada para SYSTEM, para conta de serviço do AD FS, ou para domínio). A CISA classifica o uso conhecido em ransomware como 'Unknown', ou seja, não há confirmação de que a falha seja usada em campanhas de ransomware.

Dado o padrão dessa classe de CVE em CVE-2026-56155 (elevação de privilégio local pós-autenticação), o cenário de exploração típico envolve um atacante que já obteve um ponto de apoio inicial no servidor AD FS — por exemplo via credencial de serviço comprometida, phishing que resultou em RDP/logon local, ou abuso de outra vulnerabilidade — e usa esta falha como segundo estágio para obter privilégio elevado no host, o que em servidores AD FS pode significar acesso a chaves de assinatura de token e material criptográfico crítico para federação de identidade.

A ação recomendada pela Microsoft e reforçada pela CISA é aplicar a atualização oficial de segurança via update guide do MSRC (referência catalogada). As fontes disponíveis não especificam o número de KB ou a versão exata de build corrigida para cada sistema operacional afetado — essa informação deve ser obtida diretamente na página do MSRC para a CVE antes de considerar qualquer ambiente corrigido; não escrevo aqui um número de KB porque não foi confirmado no material lido.

A CISA determinou prazo de correção até 2026-07-28 sob a BOD 26-04, e orienta que, se a mitigação via patch não estiver disponível para um ativo, as organizações sigam a diretriz de descontinuar o uso do produto ou aplicar controles compensatórios conforme a BOD 26-04. Como paliativo técnico geral para essa classe de falha (elevação de privilégio local pós-autenticação), reduzir o número de contas com logon interativo ou acesso de shell ao servidor AD FS, e restringir administração a estações de acesso privilegiado, diminui a superfície de exploração — mas não elimina a vulnerabilidade em si.

Para ambientes que avaliam descontinuar AD FS, a Microsoft mantém um guia de descomissionamento (referenciado pela CISA) como alternativa de longo prazo, migrando federação de identidade para outra solução. Não há indicação nas fontes de que WAF, firewall de rede ou segmentação de rede mitiguem esta falha específica, já que o vetor de ataque é local (AV:L) e não depende de tráfego de rede interceptável.

As fontes lidas não trazem indicadores de comprometimento, assinaturas de log específicas ou padrões de tráfego associados à exploração desta CVE — apenas a confirmação da CISA de que há exploração ativa (status KEV), sem detalhamento forense público. Por se tratar de falha local pós-autenticação em componente de sistema operacional/AD FS, o sinal mais relevante a monitorar, na ausência de assinatura conhecida, é atividade anômala de elevação de privilégio em hosts com role AD FS instalado — criação inesperada de contas privilegiadas, acesso a material de chave de assinatura de token do AD FS, ou execução de processos com privilégio elevado por contas que normalmente não o teriam — mas isso é detecção genérica de pós-exploração, não uma assinatura específica desta CVE.