Pengaturan keamanan untuk objek COM di Office

Office COM Kill bit 

Office COM Kill bit diperkenalkan di pembaruan keamanan MS10-036 untuk mencegah objek COM tertentu berjalan saat disematkan atau ditautkan dari dokumen Office.  

Fungsionalitas Kill bit COM telah diperbarui di KB3178703 untuk memblokir sepenuhnya objek com agar tidak diaktifkan dalam proses oleh Office. Pembaruan ini merupakan superset dari perilaku asli di mana, selain memblokir objek COM yang disematkan atau ditautkan dalam dokumen Office, ini akan memblokir semua contoh objek COM yang dimuat dalam proses Office melalui cara lain seperti Add-in. 

Objek COM tertentu ini menyertakan kontrol ActiveX dan objek OLE. Melalui registri, Anda bisa secara independen mengontrol objek COM mana yang diblokir saat Anda menggunakan Office. 

AnKami tidak menyarankan Anda menghapus sedikit Kill yang diatur untuk objek COM. Jika Anda melakukan ini, Anda mungkin membuat kerentanan keamanan. Sedikit Kill biasanya diatur untuk alasan yang mungkin penting. Oleh karena itu, Anda harus sangat berhati-hati saat Menghapus instalan kontrol ActiveX.  
 
Anda dapat menambahkan AlternateCLSID (juga dikenal sebagai "Phoenix bit") saat Anda harus mengaitkan CLSID dari kontrol ActiveX baru (dan kontrol ActiveX ini telah dimodifikasi untuk mengurangi ancaman keamanan), ke CLSID dari kontrol ActiveX yang diterapkan Office COM Kill bit. Office mendukung AlternateCLSID hanya ketika objek COM Control ActiveX yang digunakan.  
 
Catatan: Daftar Kill bit untuk Office diutamakan di atas daftar Kill bit untuk Internet Explorer. Misalnya, Office COM Kill bit dan Internet Explorer ActiveX Kill bit mungkin diatur untuk kontrol ActiveX yang sama. Tapi AlternateCLSID diatur hanya pada daftar untuk Internet Explorer. Dalam skenario ini, terdapat konflik antara kedua pengaturan tersebut. Dalam contoh tersebut, pengaturan Office Kill bit diutamakan, dan kontrol tidak dimuat. 

Mengatur Office COM Kill bit

Lokasi untuk mengatur Office COM Kill bit dalam registri adalah sebagai berikut:  

Untuk Office 2013 dan Office 2010:

• Untuk Office 64-bit pada jendela 64-bit (atau 32-bit di Windows 32).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Untuk Office 32-bit pada Windows 64-bit:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Untuk Office 2016:

• Untuk Office 64-bit pada jendela 64-bit (atau 32-bit Office pada jendela 32-bit):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Untuk Office 32-bit pada Windows 64-bit:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

Dalam kasus ini, CLSID adalah pengidentifikasi kelas objek COM.  

Untuk mengaktifkan Office COM Kill bit, ikuti langkah-langkah berikut:

1. Tambahkan subkunci registri bersama-sama dengan CLSID kontrol ActiveX atau objek OLE yang ingin Anda blokir memuat.

2. Tambahkan REG_DWORD ke subkunci ini yang disebut bendera kompatibilitas dan atur nilainya ke 0x00000400.

Misalnya, untuk mengatur Office COM Kill bit untuk objek yang memiliki CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} di Office 2016, ikuti langkah-langkah berikut: 

1. Temukan subkunci registri berikut ini:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Menambahkan subkunci dengan nilai {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Dalam kasus ini, jalur yang dihasilkan adalah sebagai berikut:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Tambahkan REG_DWORD ke subkunci ini yang bernama bendera kompatibilitas, dan atur nilainya ke 0x00000400.

Office COM Kill bit kini diatur untuk memblokir objek ini agar tidak diaktifkan di Office. 

Cara memblokir COM dalam skenario menautkan dan menyematkan 

Seperti disebutkan, fungsionalitas Kill bit COM telah diperbarui untuk memblokir semua aktivasi objek COM tertentu dari dalam Office.  

Untuk hanya memblokir objek COM yang disematkan atau ditautkan dari dalam dokumen Office, ikuti langkah-langkah berikut:  

1. Tambahkan CLSID ke COM Kill bit per instruksi di bawah "pengaturan Office Kill bit" (jika tidak ada di daftar)

2. Di bawah subkunci untuk CLSID yang diblokir, tambahkan nilai REG_DWORD yang bernama Activationfilteroverride, dan atur nilainya ke 0x00000001.

Misalnya, untuk mengonfigurasi COM Kill bit untuk memblokir hanya dalam skenario menautkan dan menyematkan untuk objek yang memiliki CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} di Office 2016, ikuti langkah-langkah berikut:

1. Temukan subkunci registri berikut ini:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Menambahkan subkunci yang memiliki nilai {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Dalam kasus ini, jalur yang dihasilkan adalah sebagai berikut:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Tambahkan nilai REG_DWORD ke subkunci ini yang bernama bendera kompatibilitas, dan atur nilainya ke 0x00000400. 

4. Tambahkan REG_DWORD ke subkunci ini yang disebut Activationfilteroverride, dan atur nilainya ke 0x00000001. 

Office COM Kill bit kini diatur untuk memblokir objek COM ini hanya jika tertaut atau disematkan dalam dokumen Office.