Ρυθμίσεις ασφαλείας για αντικείμενα COM στο Office

Bit "Kill" του Office COM 

Το bit του Office COM kill παρουσιάστηκε στην ενημέρωση ασφαλείας MS10-036 για να αποτρέψετε την εκτέλεση συγκεκριμένων αντικειμένων COM όταν είναι ενσωματωμένα ή συνδεδεμένα από έγγραφα του Office.  

Η λειτουργικότητα bit COM Kill έχει ενημερωθεί στο KB3178703 για να αποκλείσει πλήρως τα αντικείμενα COM από την ενεργοποίηση κατά τη διαδικασία από το Office. Αυτή η ενημέρωση είναι ένα υπερσύνολο της αρχικής συμπεριφοράς όπου, εκτός από τον αποκλεισμό αντικειμένων COM που είναι ενσωματωμένα ή συνδεδεμένα σε έγγραφα του Office, αυτό θα αποκλείσει τυχόν εμφανίσεις αντικειμένων COM που φορτώνονται στη διαδικασία του Office μέσω άλλων μέσων, όπως τα πρόσθετα. 

Αυτά τα συγκεκριμένα αντικείμενα COM περιλαμβάνουν στοιχεία ελέγχου ActiveX και αντικείμενα OLE. Μέσω του μητρώου, μπορείτε να ελέγχετε ανεξάρτητα ποια αντικείμενα COM αποκλείονται όταν χρησιμοποιείτε το Office. 

Σημείωση:Δεν συνιστάται να καταργήσετε το bit kill που έχει οριστεί για ένα αντικείμενο COM. Εάν το κάνετε αυτό, μπορείτε να δημιουργήσετε θέματα ευπάθειας ασφαλείας. Το bit kill συνήθως ορίζεται για έναν λόγο που μπορεί να είναι κρίσιμος. Επομένως, πρέπει να είστε εξαιρετικά προσεκτικοί κατά την κατάργηση της πρόσβασης σε ένα στοιχείο ελέγχου ActiveX.  
 
Μπορείτε να προσθέσετε ένα AlternateCLSID (γνωστό και ως "Bit Φοίνιξ") όταν πρέπει να συσχετιώσετε το CLSID ενός νέου στοιχείου ελέγχου ActiveX (και αυτό το στοιχείο ελέγχου ActiveX τροποποιήθηκε για να μειώσει την απειλή ασφαλείας), στο CLSID του στοιχείου ελέγχου ActiveX στο οποίο εφαρμόστηκε το bit kill COM του Office. Το Office υποστηρίζει το AlternateCLSID μόνο όταν χρησιμοποιούνται αντικείμενα COM στοιχείου ελέγχου ActiveX.  
 
Σημείωση: Η λίστα bit kill για το Office προηγείται της λίστας bit kill για τον Internet Explorer. Για παράδειγμα, το bit "Kill BIT COM" του Office και το bit "Kill ActiveX" του Internet Explorer μπορεί να έχουν οριστεί για το ίδιο στοιχείο ελέγχου ActiveX. Ωστόσο, το AlternateCLSID έχει οριστεί μόνο στη λίστα για τον Internet Explorer. Σε αυτό το σενάριο, υπάρχει διένεξη μεταξύ των δύο ρυθμίσεων. Σε αυτές τις περιπτώσεις, οι ρυθμίσεις bit του Office COM kill έχουν προτεραιότητα και το στοιχείο ελέγχου δεν φορτώνεται. 

Ρύθμιση του bit "Kill" του Office COM

Η θέση για τη ρύθμιση του bit του Office COM kill στο μητρώο είναι η εξής:  

Για το Office 2013 και το Office 2010:

• Για office 64 bit σε Windows 64 bit (ή Office 32 bit σε Windows 32 bit).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Για το Office 32 bit σε Windows 64 bit:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Για το Office 2016:

• Για office 64 bit σε Windows 64 bit (ή Office 32 bit σε Windows 32 bit):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Για το Office 32 bit σε Windows 64 bit:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

Σε αυτή την περίπτωση, το CLSID είναι το αναγνωριστικό κλάσης του αντικειμένου COM.  

Για να ενεργοποιήσετε το bit kill COM του Office, ακολουθήστε τα παρακάτω βήματα:

1. Προσθέστε το δευτερεύον κλειδί μητρώου μαζί με το CLSID του στοιχείου ελέγχου ActiveX ή του αντικειμένου OLE που θέλετε να αποκλείσετε από τη φόρτωση.

2. Προσθέστε ένα REG_DWORD σε αυτό το δευτερεύον κλειδί που ονομάζεται Σημαίες συμβατότητας και ορίστε την τιμή του σε 0x00000400.

Για παράδειγμα, για να ορίσετε το bit του Office COM kill για ένα αντικείμενο που έχει CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} στο Office 2016, ακολουθήστε τα παρακάτω βήματα: 

1. Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Προσθέστε ένα δευτερεύον κλειδί με την τιμή {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Σε αυτή την περίπτωση, η διαδρομή που προκύπτει είναι η εξής:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Προσθέστε ένα REG_DWORD σε αυτό το δευτερεύον κλειδί που ονομάζεται "Σημαίες συμβατότητας"και ορίστε την τιμή του σε 0x00000400.

Το bit kill COM του Office έχει πλέον ρυθμιστεί ώστε να αποκλείσει την ενεργοποίηση αυτού του αντικειμένου μέσα στο Office. 

Τρόπος αποκλεισμού μόνο των σεναρίων σύνδεσης και ενσωμάτωσης COM 

Όπως αναφέρθηκε, η λειτουργικότητα bit kill COM έχει ενημερωθεί για να αποκλείσει την ενεργοποίηση όλων των καθορισμένων αντικειμένων COM μέσα από το Office.  

Για να αποκλείσετε μόνο αντικείμενα COM που είναι ενσωματωμένα ή συνδεδεμένα μέσα από έγγραφα του Office, ακολουθήστε τα παρακάτω βήματα:  

1. Προσθέστε το CLSID στο bit com kill σύμφωνα με τις οδηγίες στην περιοχή " Ρύθμιση τουBit kill του Office"(εάν δεν υπάρχει ήδη στη λίστα)

2. Κάτω από το δευτερεύον κλειδί για το CLSID που έχει αποκλειστεί, προσθέστε μια τιμή REG_DWORD που ονομάζεται ActivationFilterOverrideκαι ορίστε την τιμή της σε 0x00000001.

Για παράδειγμα, για να ρυθμίσετε τις παραμέτρους του bit com kill για αποκλεισμό μόνο σε σενάρια σύνδεσης και ενσωμάτωσης για ένα αντικείμενο που έχει CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} στο Office 2016, ακολουθήστε τα παρακάτω βήματα:

1. Εντοπίστε το ακόλουθο δευτερεύον κλειδί μητρώου:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Προσθέστε ένα δευτερεύον κλειδί που έχει την τιμή {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Σε αυτή την περίπτωση, η διαδρομή που προκύπτει είναι η εξής:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Προσθέστε μια REG_DWORD σε αυτό το δευτερεύον κλειδί που ονομάζεται "Σημαίες συμβατότητας"και ορίστε την τιμή της σε 0x00000400. 

4. Προσθέστε ένα REG_DWORD σε αυτό το δευτερεύον κλειδί που ονομάζεται ActivationFilterOverrideκαι ορίστε την τιμή του σε 0x00000001. 

Το bit kill COM του Office έχει πλέον ρυθμιστεί ώστε να αποκλείσει αυτό το αντικείμενο COM μόνο εάν είναι συνδεδεμένο ή ενσωματωμένο σε έγγραφα του Office.