Configuración de seguridad para objetos COM en Office

Bit de cierre COM de Office

El bit de cierre COM de Office se introdujo en la actualización de seguridad MS10-036 para impedir la ejecución de objetos COM específicos cuando se integran o vinculan desde documentos de Office.

La funcionalidad de los bits de cierre COM se ha actualizado en KB3178703 para impedir por completo que Office active los objetos COM en proceso. Esta actualización es un superconjunto del comportamiento original en el que, además de bloquear objetos COM integrados o vinculados en documentos de Office, se bloqueará cualquier instancia de objetos COM que se cargue dentro del proceso de Office a través de otros medios como complementos.

Estos objetos COM específicos incluyen ActiveX y Objetos OLE. A través del Registro, puede controlar independientemente qué objetos COM se bloquean al usar Office.

Nota: No le recomendamos quitar el bit de cierre establecido para un objeto COM. Si lo hace, es posible que provoque vulnerabilidades de seguridad. El bit de cierre suele establecerse por un motivo que puede ser crítico, por lo que debe tener mucho cuidado al deshacer un control ActiveX.

Puede agregar un AlternateCLSID (también conocido como "bit Phoenix") cuando tenga que relacionar el CLSID de un nuevo control ActiveX (si ese control ActiveX se modificó para reducir la amenaza de seguridad) con el CLSID de control de ActiveX al que se aplicó el bit de cierre COM de Office. Office admite AlternateCLSID solo cuando se usan los objetos COM de control ActiveX. 

Nota: La lista de bits de cierre de Office tiene prioridad sobre la lista de bits de cierre para Internet Explorer. Por ejemplo, el bit de cierre COM de Office y el bit de cierre ActiveX de Internet Explorer se pueden configurar para el mismo control ActiveX; pero el AlternateCLSID solo se establece en la lista de Internet Explorer. En este escenario, hay un conflicto entre las dos opciones de configuración: la configuración de bits de cierre COM de Office tiene prioridad y el control no se carga.

Configurar el bit de cierre COM de Office

La ubicación para la configuración del bit de cierre COM de Office en el Registro es la siguiente:

Para Office 2013 y Office 2010:

• Para Office Edición de 64 bits en Windows de 64 bits (u Office Edición de 32 bits en Windows de 32 bits):

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Para Office Edición de 32 bits en Windows de 64 bits:

            HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Para Office 2016:

• Para Office Edición de 64 bits en Windows de 64 bits (u Office Edición de 32 bits en Windows de 32 bits):

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Para Office Edición de 32 bits en Windows de 64 bits:

              HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

En este caso, CLSID es el identificador de clase del objeto COM.

Para habilitar el bit de cierre COM de Office, haga lo siguiente:

1. Agregue la subclave del Registro junto con el CLSID del control ActiveX o del Objeto OLE que no desea que se cargue.

2. Agregue un valor REG_DWORD a esta subclave denominado Compatibility Flags y establezca su valor en 0x00000400.

Por ejemplo, para establecer el bit de cierre COM de Office para un objeto con un CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} en Office 2016, haga lo siguiente:

1. Busque la siguiente subclave del Registro:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Agregue una subclave con el valor {77061A9C-2F18-4f38-B294-F6BCC8443D24}. En este caso, la ruta resultante es la siguiente:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Agregue un valor REG_DWORD a esta subclave denominado Compatibility Flags y establezca su valor en 0x00000400.

El bit de cierre COM de Office ya está configurado para bloquear la activación de este objeto en Office.

Bloquear objetos COM solo en escenarios de vinculación e integración

Tal como se mencionó anteriormente, la funcionalidad del bit de cierre COM se actualizó para bloquear toda activación de objetos COM específicos dentro de Office.

Para bloquear solo los objetos COM integrados o vinculados en documentos de Office, haga lo siguiente:

1. Agregue el CLSID al bit de cierre COM según las instrucciones en "Configurar el bit de cierre de Office" (si no figura en la lista).

2. En la subclave del CLSID que está bloqueado, agregue un valor REG_DWORD denominado ActivationFilterOverridey establezca su valor en 0x00000001.

Por ejemplo, para configurar el bit de cierre COM de modo que solo se bloquee en escenarios de vinculación e integración para un objeto con CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} en Office 2016, haga lo siguiente:

1. Busque la siguiente subclave del Registro:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility 

2. Agregue una subclave que tenga el valor {77061A9C-2F18-4f38-B294-F6BCC8443D24}. En este caso, la ruta resultante es la siguiente:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. Agregue un valor REG_DWORD a esta subclave denominado Compatibility Flags y establezca su valor en 0x00000400.

4. Agregue un valor REG_DWORD a esta subclave denominado ActivationFilterOverride y establezca su valor en 0x00000001.

El bit de cierre COM de Office ya está configurado para bloquear este objeto COM solo si está vinculado o integrado en documentos de Office.