Paramètres de sécurité pour les objets COM dans Office

Bit d’arrêt Office COM

Le bit d’arrêt Office COM a été introduit dans la mise à jour de sécurité MS10-036 pour empêcher l’exécution d’objets COM spécifiques incorporés ou liés dans des documents Office.

La fonctionnalité de bit d’arrêt COM a été mise à jour dans KB3178703 pour bloquer complètement l’activation en cours de processus des objets COM par Office. Cette mise à jour est un sur-ensemble du comportement d’origine dans lequel, en plus de bloquer les objets COM incorporés ou liés dans les documents Office, le chargement des instances d’objets COM est bloqué dans le processus Office à l’aide d’autres moyens, comme les compléments.

Ces objets COM spécifiques incluent les contrôles ActiveX et les objets OLE. Par le biais du Registre, vous pouvez contrôler de manière indépendante quels objets COM sont bloqués lorsque vous utilisez Office.

Remarque : nous vous déconseillons de supprimer le bit d’arrêt défini pour un objet COM. Cela pourrait en effet engendrer des failles de sécurité. Le bit d’arrêt est généralement défini pour une raison qui peut se révéler critique. Par conséquent, vous devez faire preuve d’une grande vigilance lorsque vous annulez l’arrêt d’exécution d’un contrôle ActiveX.  
 
Vous pouvez ajouter un AlternateCLSID (également appelé « Phoenix bit ») lorsque vous devez lier le CLSID d’un nouveau contrôle ActiveX (et que ce contrôle ActiveX a été modifié pour diminuer la menace de sécurité) au CLSID du contrôle ActiveX auquel le bit d’arrêt Office COM a été appliqué. Office ne prend en charge cet AlternateCLSID que si des objets COM du contrôle ActiveX sont utilisés.  
 
Remarque : la liste des bits d’arrêt Office est prioritaire sur celle d’Internet Explorer. Par exemple, le bit d’arrêt ActiveX Office COM et le bit d’arrêt d’Internet Explorer peuvent être définis pour le même contrôle ActiveX. Toutefois, l’AlternateCLSID est uniquement défini dans la liste d’Internet Explorer. Dans ce scénario, les deux paramètres sont en conflit. Dans un cas pareil, les paramètres du bit d’arrêt Office COM sont prioritaires et le contrôle n’est pas chargé.

Définition du bit d’arrêt Office COM

L’emplacement permettant de définir le bit d’arrêt Office COM dans le Registre est le suivant :

Pour Office 2013 et Office 2010 :

• Pour Office 64 bits sous Windows 64 bits (ou Office 32 bits sous Windows 32 bits) :

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Pour Office 32 bits sous Windows 64 bits :

            HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Pour Office 2016 :

• Pour Office 64 bits sous Windows 64 bits (ou Office 32 bits sous Windows 32 bits) :

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Pour Office 32 bits sous Windows 64 bits :

              HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

Dans ce cas, CLSID correspond à l’identificateur de classe de l’objet COM.

Pour activer le bit d’arrêt Office COM, procédez comme suit :

1. Ajoutez la sous-clé de Registre accompagnée du CLSID du contrôle ActiveX ou de l’objet OLE dont vous voulez empêcher le chargement.

2. Ajoutez la valeur REG_DWORD Compatibility Flags à cette sous-clé et définissez-la sur 0x00000400.

Par exemple, pour définir le bit d’arrêt Office COM pour un objet ayant le CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} sur Office 2016, procédez comme suit :

1. Recherchez la sous-clé de Registre suivante :
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Ajoutez une sous-clé avec la valeur {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Dans ce cas, le chemin d’accès qui en résulte est le suivant :
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Ajoutez la valeur REG_DWORD Compatibility Flags à cette sous-clé et définissez-la sur 0x00000400.

Le bit d’arrêt Office COM est à présent défini pour empêcher l’activation de cet objet dans Office.

Comment bloquer uniquement les objets COM dans les scénarios de liaison et d’incorporation

Comme indiqué précédemment, la fonctionnalité de bit d’arrêt COM a été mise à jour pour empêcher l’activation d’objets COM spécifiés à partir d’Office.

Pour bloquer uniquement les objets COM incorporés ou liés à partir de documents Office, procédez comme suit :

1. Ajoutez le CLSID au bit d’arrêt COM en suivant les instructions figurant dans la section « Définition du bit d’arrêt Office » (s’il ne figure pas déjà dans la liste).

2. Sous la sous-clé du CLSID bloqué, ajoutez une valeur REG_DWORD nommée ActivationFilterOverride et définissez-la sur 0x00000001.

Par exemple, pour configurer le bit d’arrêt COM permettant uniquement le blocage dans les scénarios de liaison et d’incorporation pour un objet ayant le CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} sur Office 2016, procédez comme suit :

1. Recherchez la sous-clé de Registre suivante :
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility 

2. Ajoutez une sous-clé ayant la valeur {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Dans ce cas, le chemin d’accès qui en résulte est le suivant :
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. Ajoutez la valeur REG_DWORD Compatibility Flags à cette sous-clé et définissez-la sur 0x00000400.

4. Ajoutez la valeur REG_DWORD ActivationFilterOverride à cette sous-clé et définissez-la sur 0x00000001.

Le bit d’arrêt Office COM est à présent défini pour bloquer cet objet COM uniquement lorsqu’il est lié ou incorporé dans des documents Office.