Sigurnosne postavke za COM objekte u sustavu Office

Office COM kill bit 

Office COM Kill zalogaj predstavljen je u sigurnosnom ažuriranju MS10-036 da bi se spriječilo da se specifični COM objekti pokrenu prilikom ugrađenog ili povezanog s dokumentima sustava Office.  

Funkcionalnost COM Kill bita ažurirana je u KB3178703 da biste u potpunosti blokirali com objekte da ga aktiviraju u postupku u sustavu Office. Ovo je ažuriranje super skup izvornog ponašanja u kojem se, osim blokiranjem COM objekata ugrađenih ili povezanih u dokumentima sustava Office, to blokira bilo koje instance COM objekata koji se učitavaju unutar procesa sustava Office putem drugih sredstava kao što su dodaci. 

Ovi specifični COM objekti obuhvaćaju ActiveX kontrole i OLE objekte. Putem registra možete samostalno kontrolirati koji su COM objekti blokirani prilikom korištenja sustava Office. 

NapomenaNe preporučujemo da uklonite gumb ubij koji je postavljen za COM objekt. Ako to učinite, možda ćete stvarati sigurnosne ranjivosti. Gumb za ubojstvo obično je postavljen za razlog koji bi mogao biti kritičan. Stoga morate biti vrlo pažljivi kada poništite kontrolu ActiveX kontrole.  
 
Možete dodati zamjensku CLSID (poznat i kao "Feniksov zalogaj") kada morate povezati CLSID nove ActiveX kontrole (a ta je ActiveX kontrola izmijenjena da bi se smanjila sigurnost), na CLSID kontrole ActiveX na koju je primijenjena verzija Office COM Kill. Office podržava alternativni Kleclsid samo kada se koriste ActiveX kontrole COM objekti.  
 
Upozorenje: Popis pobijaj za Office ima prednost iznad popisa kill bit za Internet Explorer. Primjerice, Office COM kill bit i ActiveX gumb za Internet Explorer mogu se postaviti za istu ActiveX kontrolu. No, alternativno je postavljen na samo popis u pregledniku Internet Explorer. U ovom scenariju postoji sukob između dviju postavki. U takvim slučajevima postavke sustava Office COM Kill bita imaju prednost, a kontrola nije učitana. 

Postavljanje sustava Office COM kill bit

Mjesto za postavljanje sustava Office COM kill bit u registru je kako slijedi:  

Za Office 2013 i Office 2010:

• Za 64-bitni Office na 64-bitnom sustavu Windows (ili 32-bitni Office na 32-bitnom sustavu Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Za 32-bitni Office na 64-bitnom sustavu Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Za Office 2016:

• Za 64-bitni Office na 64-bitnom sustavu Windows (ili 32-bitni Office na 32-bitnom sustavu Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Za 32-bitni Office na 64-bitnom sustavu Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

U ovom slučaju CLSID je identifikator klase u COM objektu.  

Da biste omogućili verziju sustava Office COM Kill, slijedite ove korake:

1. Dodajte potključ registra zajedno s CLSID-om ActiveX kontrole ili OLE objekta koji želite blokirati iz učitavanja.

2. Dodajte REG_DWORD u ovaj potključ pod nazivom oznake kompatibilnosti i postavite vrijednost na 0x00000400.

Da biste, primjerice, postavili Office COM kill bit za objekt koji ima CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} u sustavu Office 2016, slijedite ove korake: 

1. Pronađite sljedeći subkey registra:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Dodajte potključ s vrijednošću {77061a9c-2F18-4f38-b294-f6bcc8443d24}. U ovom slučaju, put koji je nastao je sljedeći:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Dodajte REG_DWORD u ovaj potključ koji se naziva zastavicama za kompatibilnosti postavite vrijednost na 0x00000400.

Sustav Office COM kill bit će sada postavljen da blokira aktiviranje tog objekta u sustavu Office. 

Kako samo blokirati COM u povezivanju i ugrađivanje scenarija 

Kao što je spomenuto, funkcionalnost COM Kill bita ažurirana je da bi se blokirala sva aktivacija navedenih COM objekata iz sustava Office.  

Da biste blokirali COM objekte koji su ugrađeni ili povezani u dokumentima sustava Office, slijedite ove korake:  

1. Dodajte CLSID u COM Kill zalogaj po uputama u odjeljku "Postavljanje sustava Office kill bit" (ako već nije na popisu)

2. U odjeljku potključ za CLSID koji je blokiran dodajte vrijednost REG_DWORD koja se naziva activationfilter,i postavite vrijednost na 0x00000001.

Da biste, primjerice, konfigurirali COM kill bit da blokira samo povezivanje i ugrađivanje scenarija za objekt koji ima CLSID {77061E9c-2F18-4f38-b294-f6bcc8443d24} u sustavu Office 2016, slijedite ove korake:

1. Pronađite sljedeći subkey registra:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Dodajte potključ s vrijednošću {77061a9c-2F18-4f38-b294-f6bcc8443d24}. U ovom slučaju, put koji je nastao je sljedeći:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Dodajte vrijednost REG_DWORD u ovaj potključ koji se naziva zastavicama za kompatibilnosti postavite vrijednost na 0x00000400. 

4. Dodajte REG_DWORD na ovaj potključ pod nazivom activationfilter,i postavite vrijednost na 0x00000001. 

Sustav Office COM kill bit će sada postavljen da blokira ovaj COM objekt samo ako je povezan ili ugrađen u dokumentima sustava Office.