Upozornění
Tento článek obsahuje informace, jak řídit nastavení zabezpečení pro Office. Změnou těchto nastavení zabezpečení můžete zvýšit nebo snížit úroveň zabezpečení. Před provedením těchto změn doporučujeme vyhodnotit rizika spojená se změnami, které provedete při konfiguraci tohoto nastavení.
ÚVOD
Tento článek popisuje nastavení dostupná pro uživatele a správce IT, která určují, zda a jakým způsobem se objekty COM načítají, když mají k dispozici seznam dezaktivačních bitů systému systém Microsoft Office.
Další informace o chování dezaktivačních bitů aplikace Windows Internet Explorer, na kterém je tato funkce založena, včetně postupu při nastavení identifikátorů AlternateCLSID, které umožňují načtení aktualizovaných ovládacích prvků ActiveX, naleznete v tématu Zastavení spouštění ovládacího prvku ActiveX v aplikaci Internet Explorer.
Tyto pokyny platí pro Microsoft Word, Microsoft Excel, Microsoft PowerPoint, Microsoft Publisher a Microsoft Visio.
Dezaktivační bit modelu COM sady Office
Dezaktivační bit modelu COM systému Office byl zaveden v aktualizaci zabezpečení MS10-036, aby zabránil spuštění určitých objektů COM při vložení nebo propojení z dokumentů Office.
Funkce dezaktivačního bitu modelu COM byla v KB3178703 aktualizována tak, aby zcela blokovala aktivaci objektů COM v rámci procesů v Office. Tato aktualizace je rozšířením původního chování, kdy kromě blokování objektů COM vložených nebo propojených v dokumentech Office bude tato možnost blokovat všechny instance načítání objektů COM v rámci procesu Office jinými prostředky, jako jsou doplňky.
Mezi tyto specifické objekty COM patří ovládací prvky ActiveX a objekty OLE. Prostřednictvím registru můžete nezávisle řídit, které objekty COM jsou při používání Office blokované.
Poznámka: Nedoporučujeme dezaktivační bit, který je nastaven pro objekt COM, odebírat. Pokud to uděláte, můžete vytvořit chyby zabezpečení. Dezaktivační bit je obvykle nastaven z důvodu, který může být kritický. Proto musíte být při rušení ovládacího prvku ActiveX velmi opatrní.
Pokud potřebujete spojit identifikátor CLSID nového ovládacího prvku ActiveX (tento ovládací prvek ActiveX byl upraven tak, aby bylo možné omezit ohrožení zabezpečení), můžete přidat identifikátor CLSID nového ovládacího prvku ActiveX (který byl upraven za účelem omezení ohrožení zabezpečení) se seznamem CLSID ovládacího prvku ActiveX, u kterého byl použit dezaktivační bit modelu COM systému Office. Office podporuje AlternateCLSID pouze při použití objektů COM ovládacího prvku ActiveX.
Poznámka: Seznam dezaktivačních bitů pro Office má přednost před seznamem dezaktivačních bitů pro Internet Explorer. Pro stejný ovládací prvek ActiveX mohou být například nastaveny dezaktivační bit modelu COM systému Office a dezaktivační bit ovládacího prvku ActiveX aplikace Internet Explorer. Alternativní identifikátor CLSID je však nastavený jenom v seznamu aplikace Internet Explorer. V tomto scénáři dochází ke konfliktu mezi těmito dvěma nastaveními. V takových případech má přednost nastavení dezaktivačního bitu modelu COM systému Office a ovládací prvek není načten.
Nastavení dezaktivačního bitu modelu COM systému Office
Důležité
- Tato část, metoda nebo úkol obsahuje kroky, které popisují úpravu registru. Pokud byste ale registr upravili nesprávně, mohlo by dojít k vážným problémům. Provádějte proto tento postup pečlivě. Před úpravami registru vytvořte pro zvýšení ochrany zálohu registru. V případě problému pak můžete registr obnovit. Další informace o zálohování a obnovení registru naleznete v následujícím článku znalostní báze znalostní báze Microsoft Knowledge Base:
- 322756 Zálohování a obnovení registru v systému Windows
Umístění dezaktivačního bitu modelu COM systému Office v registru je následující:
Office 2013 a Office 2010:
- Pro 64bitovou verzi Office v 64bitové verzi Windows (nebo 32bitovou verzi Office v 32bitové verzi Windows)
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}
Pro 32bitovou verzi Office v 64bitovém systému Windows:
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}
Office 2016:
- Pro 64bitovou verzi Office v 64bitové verzi Windows (nebo 32bitovou verzi Office v 32bitové verzi Windows):
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID} - Pro 32bitovou verzi Office v 64bitovém systému Windows:
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}
V tomto případě je CLSID identifikátorem třídy objektu COM.
Chcete-li dezaktivační bit modelu COM systému Office povolit, postupujte takto:
- Přidejte podklíč registru společně s identifikátorem CLSID ovládacího prvku ActiveX nebo objektu OLE, kterému chcete zabránit v načtení.
- Do tohoto podklíče přidejte REG_DWORD s názvem Compatibility Flags (Příznaky kompatibility ) a nastavte jeho hodnotu na hodnotu 0x00000400.
Pokud třeba chcete nastavit dezaktivační bit modelu COM pro objekt, který má CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} v Office 2016, postupujte takto:
Vyhledejte tento podklíč registru:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility
Přidejte podklíč s hodnotou {77061A9C-2F18-4f38-B294-F6BCC8443D24}. V tomto případě je výsledná cesta následující:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}
Do tohoto podklíče přidejte REG_DWORD s názvem Příznaky kompatibility a nastavte jeho hodnotu na 0x00000400.
Dezaktivační bit modelu COM systému Office je nyní nastaven tak, aby blokoval aktivaci tohoto objektu v rámci sady Office.
Jak blokovat objekty COM jenom ve scénářích odkazování a vkládání
Jak již bylo zmíněno, funkce dezaktivačního bitu modelu COM byla aktualizována tak, aby blokovala všechny aktivace zadaných objektů COM v rámci sady Office.
Chcete-li blokovat pouze objekty COM vložené nebo propojené z dokumentů Office, postupujte takto:
- Přidejte CLSID do dezaktivačního bitu COM podle instrukcí v části "Nastavení dezaktivačního bitu Office" (pokud již není v seznamu)
- Pod podklíč pro blokovaný identifikátor CLSID přidejte hodnotu REG_DWORD s názvem ActivationFilterOverride a nastavte její hodnotu na 0x00000001.
Chcete-li například dezaktivační bit modelu COM nakonfigurovat tak, aby blokoval pouze ve scénářích odkazování a vkládání pro objekt, který má CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} v Office 2016, postupujte takto:
Vyhledejte tento podklíč registru:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility
Přidejte podklíč s hodnotou {77061A9C-2F18-4f38-B294-F6BCC8443D24}. V tomto případě je výsledná cesta následující:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}
Do tohoto podklíče přidejte REG_DWORD hodnotu s názvem Compatibility Flags (Příznaky kompatibility) a nastavte její hodnotu na 0x00000400.
Do tohoto podklíče přidejte REG_DWORD s názvem ActivationFilterOverride a nastavte jeho hodnotu na 0x00000001.
Dezaktivační bit modelu COM systému Office je nyní nastaven tak, aby blokoval tento objekt COM pouze v případě, že je propojený nebo vložený v dokumentech Office.
Ovládací prvky, jejichž aktivace je ve výchozím nastavení blokovaná
| Ovládací prvek | CLSID |
|---|---|
| ScriptMoniker | 06290BD3-48AA-11D2-8432-006008C3FBFC |
| SoapActivator | ECABAFD0-7F19-11D2-978E-0000F8757E2A |
| SoapMoniker | ECABB0C7-7F19-11D2-978E-0000F8757E2A |
| PartitionMoniker | ECABB0C5-7F19-11D2-978E-0000F8757E2A |
| QueueMoniker | ECABAFC7-7F19-11D2-978E-0000F8757E2A |
| Aplikace HTMLApplication | 3050F4D8-98B5-11CF-BB82-00AA00BDCE0B |
| ScripletContext | 06290BD0-48AA-11D2-8432-006008C3FBFC |
| ScripletConstructor | 06290BD1-48AA-11D2-8432-006008C3FBFC |
| ScripletFactory | 06290BD2-48AA-11D2-8432-006008C3FBFC |
| ScripletHostEncode | 06290BD4-48AA-11D2-8432-006008C3FBFC |
| ScripletTypeLib | 06290BD5-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_Automation | 06290BD8-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_Event | 06290BD9-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_ASP | 06290BDA-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_Behavior | 06290BDB-48AA-11D2-8432-006008C3FBFC |
| Formát XMLFeed | 528D46B3-3A4B-4B13-BF74-D9CBD7306E07 |
| Skriptlet | AE24FDAE-03C6-11D1-8B76-0080C744F389 |
| HtmlFile_FullWindowEmbed | Číslo výrobku: 25336921-03F9-11CF-8FD0-00AA00686F13 |
| Mhtmlsoubor | 3050F3D9-98B5-11CF-BB82-00AA00BDCE0B |
| Dokument Microsoft HTA 6.0 | 3050F5C8-98B5-11CF-BB82-00AA00BDCE0B |
| DHTMLEdit.DHTMLEdit.1 | 2D360200-FFF5-11D1-8D03-00A0C959BC0A |
| DHTMLSafe.DHTMLSafe.1 | 2D360201-FFF5-11D1-8D03-00A0C959BC0A |
| Skriptovací jazyk jazyka VB | B54F3741-5B07-11cf-A4B0-00AA004A55E8 |
| Vytváření ve skriptovacím jazyce VB | B54F3742-5B07-11cf-A4B0-00AA004A55E8 |
| Kódování jazyka VBScript | B54F3743-5B07-11cf-A4B0-00AA004A55E8 |
| Kódování hostitele v jazyce VBScript | 85131631-480C-11D2-B1F9-00C04F86C324 |
| Objekt Shockwave Flash | D27CDB6E-AE6D-11cf-96B8-444553540000 |
| Objekt Macromedia Flash Factory | D27CDB70-AE6D-11cf-96B8-444553540000 |
| Microsoft Silverlight | DFEAF541-F3E1-4c24-ACAC-99C30715084A |
| Adobe Shockwave Player | 233C1507-6A77-46A4-9443-F871F945D258 |
| Ovládací prvek Pythonu | DF630910-1C1D-11D0-AE36-8C0F5E000000 |
Vložení ovládacích prvků, jejichž vkládání je ve výchozím nastavení blokované
| Ovládací prvek | CLSID |
|---|---|
| Shell.Explorer.2 | 8856F961-340A-11D0-A96B-00C04FD705A2 |
| Soubor ve formátu HTML | Číslo výrobku: 25336920-03F9-11CF-8FD0-00AA00686F13 |
| Microsoft HTML Document for Popup Window | 3050F67D-98B5-11CF-BB82-00AA00BDCE0B |
Poznámka: Tento seznam je snímkem blokovaných ovládacích prvků a může se změnit