Impostazioni di sicurezza per gli oggetti COM in Office

Kill bit di Office COM 

Il kill bit com di Office è stato introdotto nell'aggiornamento della sicurezza MS10-036 per impedire l'esecuzione di oggetti COM specifici quando sono incorporati o collegati da documenti di Office.  

La funzionalità del kill bit COM è stata aggiornata in KB3178703 per impedire completamente l'attivazione in-process di oggetti COM da parte di Office. Questo aggiornamento è un superset del comportamento originale in cui, oltre a bloccare gli oggetti COM incorporati o collegati nei documenti di Office, blocca tutte le istanze di oggetti COM caricati nel processo di Office con altri mezzi come i componenti aggiuntivi. 

Questi oggetti COM specifici includono ActiveX e oggetti OLE. Tramite il Registro di sistema è possibile controllare in modo indipendente gli oggetti COM bloccati quando si usa Office. 

Nota:Non è consigliabile rimuovere il kill bit impostato per un oggetto COM. In questo caso, è possibile creare vulnerabilità della sicurezza. Il kill bit è in genere impostato per un motivo che potrebbe essere critico. Pertanto, è necessario prestare particolare attenzione quando si annulla l'ActiveX controllo.  
 
È possibile aggiungere un AlternateCLSID (noto anche come "phoenix bit") quando è necessario correlare il CLSID di un nuovo controllo ActiveX (e questo controllo ActiveX è stato modificato per ridurre la minaccia alla sicurezza) al CLSID del controllo ActiveX a cui è stato applicato il kill bit di Office COM. Office supporta AlternateCLSID solo quando si ActiveX gli oggetti COM del controllo.  
 
Nota: L'elenco dei kill bit per Office ha la precedenza sull'elenco dei kill bit per Internet Explorer. Ad esempio, il kill bit di Office COM e ActiveX kill bit di Internet Explorer possono essere impostati per lo stesso ActiveX controllo. Ma l'ALTERNATECLSID è impostato solo sull'elenco per Internet Explorer. In questo scenario esiste un conflitto tra le due impostazioni. In questi casi, le impostazioni del kill bit COM di Office hanno la precedenza e il controllo non viene caricato. 

Impostazione del kill bit di Office COM

La posizione in cui impostare il kill bit di Office COM nel Registro di sistema è la seguente:  

Per Office 2013 e Office 2010:

• Per Office a 64 bit in Windows a 64 bit (o Office a 32 bit in Windows a 32 bit).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Per Office a 32 bit in Windows a 64 bit:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Per Office 2016:

• Per Office a 64 bit in Windows a 64 bit (o Office a 32 bit in Windows a 32 bit):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Per Office a 32 bit in Windows a 64 bit:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

In questo caso, CLSID è l'identificatore di classe dell'oggetto COM.  

Per abilitare il kill bit COM di Office, seguire questa procedura:

1. Aggiungere la sottochiave del Registro di sistema con il CLSID del controllo ActiveX o dell'oggetto OLE che si vuole bloccare dal caricamento.

2. Aggiungere un REG_DWORD a questa sottochiave denominata Contrassegni compatibilità e impostarne il valore su 0x00000400.

Ad esempio, per impostare il kill bit di Office COM per un oggetto con CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} in Office 2016, seguire questa procedura: 

1. Individuare la sottochiave del Registro di sistema seguente:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Aggiungere una sottochiave con il valore {77061A9C-2F18-4f38-B294-F6BCC8443D24}. In questo caso, il percorso risultante è il seguente:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Aggiungere un REG_DWORD a questa sottochiave denominata Contrassegnicompatibilità e impostarne il valore su 0x00000400.

Il kill bit com di Office è ora impostato per impedire l'attivazione di questo oggetto all'interno di Office. 

Come bloccare COM solo negli scenari di collegamento e incorporamento 

Come accennato, la funzionalità del kill bit COM è stata aggiornata per bloccare tutte le attivazioni di oggetti COM specificati da Office.  

Per bloccare solo gli oggetti COM incorporati o collegati all'interno di documenti di Office, seguire questa procedura:  

1. Aggiungere il CLSID al kill bit COM in base alle istruzioni in " Impostazione delkill bitdi Office " (se non è già presente nell'elenco)

2. Sotto la sottochiave del CLSID bloccato aggiungere un valore REG_DWORD denominato ActivationFilterOverridee impostarne il valore su 0x00000001.

Ad esempio, per configurare il kill bit COM in modo che si blocchi solo negli scenari di collegamento e incorporamento per un oggetto con CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} in Office 2016, seguire questa procedura:

1. Individuare la sottochiave del Registro di sistema seguente:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Aggiungere una sottochiave con il valore {77061A9C-2F18-4f38-B294-F6BCC8443D24}. In questo caso, il percorso risultante è il seguente:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Aggiungere un REG_DWORD a questa sottochiave denominata Contrassegnicompatibilità e impostarne il valore su 0x00000400. 

4. Aggiungere un REG_DWORD a questa sottochiave denominata ActivationFilterOverridee impostarne il valore su 0x00000001. 

Il kill bit com di Office è ora impostato per bloccare questo oggetto COM solo se è collegato o incorporato nei documenti di Office.