Sikkerhedsindstillinger for COM-objekter i Office

Office COM kill-bit 

Office COM kill-bit'en blev introduceret i sikkerhedsopdateringen MS10-036 for at forhindre, at bestemte COM-objekter kører, når de er integreret eller sammenkædet fra Office-dokumenter.  

Funktionen COM Kill-bit er blevet opdateret i KB3178703 for helt at forhindre COM-objekter i at blive aktiveret i processen af Office. Denne opdatering er et oversæt af den oprindelige funktionsmåde, hvor det udover at blokere COM-objekter, der er integreret eller sammenkædet i Office-dokumenter, blokerer dette alle forekomster af COM-objekter, der indlæses i Office-processen på andre måder, f.eks. tilføjelsesprogrammet. 

Disse specifikke COM-objekter omfatter ActiveX-objekter og OLE-objekter. Via registreringsdatabasen kan du uafhængigt styre, hvilke COM-objekter der blokeres, når du bruger Office. 

Bemærk!Vi anbefaler ikke, at du fjerner den kill-bit, der er indstillet for et COM-objekt. Hvis du gør dette, kan du oprette sikkerhedsrisici. Kill-bit'en angives typisk af en årsag, der kan være kritisk. Du skal derfor være meget forsigtig, når du vil fjerne kvalificeringen af et ActiveX-objekt.  
 
Du kan tilføje et AlternateCLSID (også kaldet en "Phoenix-bit"), når du skal relatere CLSID'et for et nyt ActiveX-objekt (og dette ActiveX-objekt blev ændret for at reducere sikkerhedstruslen) til CLSID for det ActiveX-objekt, som Office COM-kill-bit'et blev anvendt til. Office understøtter kun AlternateCLSID, når der bruges ActiveX-objekter fra COM-objekter.  
 
Bemærk! Listen over kill-bit til Office tilsidesætter listen over kill-bit for Internet Explorer. Eksempelvis kan DÆB-bit'en til Office COM og ActiveX-kill-bit'en i Internet Explorer være indstillet til det samme ActiveX-objekt. Men AlternativeCLSID er kun angivet på listen til Internet Explorer. I dette scenarie er der en konflikt mellem de to indstillinger. I sådanne tilfælde har indstillingerne for "Office COM kill bit" forrang, og kontrolelementet indlæses ikke. 

Indstilling af Office COM kill-bit

Placeringen af indstillingen af Office COM kill-bit'en i registreringsdatabasen er som følger:  

For Office 2013 og Office 2010:

• Til 64-bit Office til 64-bit Windows (eller 32-bit Office i 32-bit Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Til 32-bit Office i 64-bit Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

For Office 2016:

• Til 64-bit Office på 64-bit Windows (eller 32-bit Office i 32-bit Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Til 32-bit Office i 64-bit Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

I dette tilfælde er CLSID klasseidentifikatoren for COM-objektet.  

Følg disse trin for at aktivere Office COM kill-bit'en:

1. Tilføj undernøglen i registreringsdatabasen sammen med CLSID for det ActiveX-objekt eller OLE-objekt, du vil blokere fra at blive indlæst.

2. Føj en REG_DWORD til denne undernøgle ved navn Kompatibilitetsflag, og angiv dens værdi til 0x00000400.

Hvis du f.eks. vil indstille office COM-kill-bit'en for et objekt, der har CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} på Office 2016, skal du følge disse trin: 

1. Find følgende undernøgle i registreringsdatabasen:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Tilføj en undernøgle med værdien {77061A9C-2F18-4f38-B294-F6BCC8443D24}. I dette tilfælde er den resulterende sti som følger:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Føj en REG_DWORD til denne undernøgle, der hedder Kompatibilitetsflag,og angiv dens værdi til 0x00000400.

Office COM kill-bit'en er nu indstillet til at blokere dette objekt i at blive aktiveret i Office. 

Sådan blokeres COM kun i scenarier med sammenkædning og integrering 

Som nævnt er funktionen COM kill bit blevet opdateret til at blokere al aktivering af angivne COM-objekter fra Office.  

Hvis du kun vil blokere COM-objekter, der er integreret eller sammenkædet fra Office-dokumenter, skal du følge disse trin:  

1. Føj CLSID'et til COM kill-bit'et i henhold til instruktionerne under " Indstilling afOffice Kill Bit"(hvis det ikke allerede er på listen)

2. Under undernøglen til clsid'et, der blokeres, skal du tilføje en REG_DWORD-værdi, der hedder ActivationFilterOverride,og angive værdien til 0x00000001.

Hvis du f.eks. vil konfigurere COM kill-bit'en til kun at blokere i scenarier med sammenkædning og integrering for et objekt, der har CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} i Office 2016, skal du følge disse trin:

1. Find følgende undernøgle i registreringsdatabasen:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Tilføj en undernøgle med værdien {77061A9C-2F18-4f38-B294-F6BCC8443D24}. I dette tilfælde er den resulterende sti som følger:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Føj en REG_DWORD til denne undernøgle, der hedder Kompatibilitetsflag,og angiv dens værdi til 0x00000400. 

4. Føj en REG_DWORD til denne undernøgle kaldet ActivationFilterOverride,og angiv dens værdi til 0x00000001. 

Office COM kill-bit'en er nu indstillet til kun at blokere dette COM-objekt, hvis det er sammenkædet eller integreret i Office-dokumenter.