הגדרות אבטחה עבור אובייקטי COM ב-Office

סיבית kill של Office COM 

סיבית הkill של Office COM הוצגה בעדכון האבטחה MS10-036 כדי למנוע הפעלה של אובייקטי COM ספציפיים כאשר הם מוטבעים או מקושרים ממסמכי Office.  

פונקציונליות ה-COM Kill bit עודכנה ב- KB3178703 כדי לחסום לחלוטין את הפעלת אובייקטי COM בתהליך ההפעלה של Office. עדכון זה מהווה קבוצת על של אופן הפעולה המקורי שבו, בנוסף לחסימת אובייקטי COM המוטבעים או מקושרים במסמכי Office, פעולה זו חוסמת כל מופע של אובייקטי COM הנטענים בתוך תהליך Office באמצעות אמצעים אחרים כגון תוספות. 

אובייקטי COM ספציפיים אלה כוללים פקדי ActiveX ואובייקטי OLE. באמצעות הרישום, באפשרותך לקבוע באופן עצמאי אילו אובייקטי COM נחסמים בעת השימוש ב-Office. 

הערהלא מומלץ להסיר את סיבית kill שהוגדרה עבור אובייקט COM. אם תעשה זאת, תוכל ליצור פגיעויות אבטחה. סיבית kill מוגדרת בדרך כלל מסיבה שעשויה להיות קריטית. לכן, עליך להיות זהיר מאוד כאשר אתה מכבה פקד ActiveX.  
 
באפשרותך להוסיף AlternateCLSID (הנקרא גם "Phoenix bit") כאשר עליך לקשר את ה-CLSID של פקד ActiveX חדש (ופקד ActiveX זה שונה כדי להפחית את איום האבטחה), אל ה-CLSID של פקד ה-ActiveX שאליו הוחל סיבית kill של Office COM. Office תומך ב-AlternateCLSID רק כאשר נעשה שימוש באובייקטי COM של פקד ActiveX.  
 
הערה: רשימת הסיביות להריגה של Office מקבלת קדימות על-פני רשימת kill bit עבור Internet Explorer. לדוגמה, ניתן להגדיר את סיבית ה-kill של Office COM ו-web Explorer של ActiveX של Internet Explorer עבור אותו פקד ActiveX. אולם AlternateCLSID מוגדר רק על הרשימה עבור Internet Explorer. בתרחיש זה, קיימת התנגשות בין שתי ההגדרות. במקרים כאלה, הגדרות הסיביות של Office COM מקבלות קדימות והפקד אינו טעון. 

הגדרת סיבית הkill של Office COM

מיקום ההגדרה של הסיבית הkill של Office COM ברישום הוא כדלקמן:  

עבור Office 2013 ו-Office 2010:

• לקבלת משרד של 64-bit בחלונות 64 סיביות (או במשרד 32-סיביות בחלונות של 32).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

לקבלת משרד של 32-bit בחלונות 64 סיביות:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

עבור Office 2016:

• לקבלת משרד של 64-bit בחלונות 64 סיביות (או 32-bit Office בחלונות של 32 סיביות):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• לקבלת משרד של 32-bit בחלונות 64 סיביות:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

במקרה זה, CLSID הוא מזהה הכיתה של אובייקט COM.  

כדי להפוך את kill bit של Office COM לזמין, בצע שלבים אלה:

1. הוסף את מפתח המשנה של הרישום יחד עם ה-CLSID של פקד ActiveX או אובייקט OLE שברצונך לחסום מטעינה.

2. הוסף REG_DWORD למפתח משנה זה בשם דגלי תאימות והגדר את הערך שלו 0x00000400'.

לדוגמה, כדי להגדיר את הסיבית של Office COM עבור אובייקט הכולל CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} ב-Office 2016, בצע את הפעולות הבאות: 

1. אתר את מפתח המשנה הבא של הרישום
   
   :HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. הוסף מפתח משנה עם הערך {77061A9C-2F18-4f38-B294-F6BCC8443D24}. במקרה זה, הנתיב המתקבל הוא כדלקמן
   
   :HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. הוסף REG_DWORD למפתח משנה זה בשם דגלי תאימותוהגדר את הערך שלו 0x00000400'.

סיבית הkill של Office COM מוגדרת כעת לחסימת אובייקט זה מפני ההפעלה בתוך Office. 

כיצד לחסום את COM רק בתרחישים של קישור והטבעה 

כפי שהוזכר, הפונקציונליות של bit ה-COM kill עודכנה כדי לחסום את כל ההפעלה של אובייקטי COM שצוינו מתוך Office.  

כדי לחסום רק אובייקטי COM המוטבעים או מקושרים מתוך מסמכי Office, בצע את הפעולות הבאות:  

1. הוסף את ה-CLSID ל-COM kill bit לכל ההוראות תחת "הגדרת סיבית kill של Office" (אם היא אינה נמצאת כבר ברשימה)

2. תחת מפתח המשנה של ה-CLSID שנחסם, הוסף ערך REG_DWORD בשם ActivationFilterOverrideוהגדר את הערך שלו ל- 0x00000001.

לדוגמה, כדי לקבוע את התצורה של ה-COM kill bit כדי לחסום רק בתרחישים של קישור והטבעה של אובייקט הכולל CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} ב-Office 2016, בצע את הפעולות הבאות:

1. אתר את מפתח המשנה הבא של הרישום
   
   :HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. הוסף מפתח משנה שמכיל את הערך {77061A9C-2F18-4f38-B294-F6BCC8443D24}. במקרה זה, הנתיב המתקבל הוא כדלקמן
   
   :HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. הוסף ערך REG_DWORD למפתח משנה זה שנקרא ' דגלי תאימות', והגדר את הערך שלו 0x00000400'. 

4. הוסף REG_DWORD למפתח משנה זה בשם ActivationFilterOverrideוהגדר את הערך שלו ל- 0x00000001. 

הסיבית של Office COM kill מוגדרת כעת לחסימת אובייקט COM זה רק אם הוא מקושר או מוטבע במסמכי Office.