Office の COM オブジェクトに関するセキュリティ設定

Office COM Kill Bit

特定の COM オブジェクトが Office ドキュメントから埋め込まれるとき、またはリンクされるときに、そのオブジェクトが実行されないようにするために、セキュリティ更新プログラム MS10-036 に Office COM Kill Bit が導入されました。

KB3178703 では、インプロセスで Office によって COM オブジェクトが有効化される処理を完全にブロックするように COM Kill Bit 機能が更新されました。この更新プログラムは、元の動作のスーパーセットです。Office ドキュメントに埋め込まれている、またはリンクされている COM オブジェクトをブロックするだけでなく、アドインなどの他の手段を使用して Office プロセス内に読み込まれている COM オブジェクトのすべてのインスタンスをブロックします。

これらの特定の COM オブジェクトには、ActiveX コントロールおよび OLE オブジェクトが含まれています。レジストリを使用すると、Office の使用時にブロックする COM オブジェクトを個別に制御できます。

注: COM オブジェクト用に設定された Kill Bit を削除することはお勧めしません。これを実行すると、セキュリティが低下する可能性があります。Kill Bit は通常、重要な場合に設定されるため、ActiveX コントロールの強制終了を取り消す場合は、細心の注意が必要です。

Office COM Kill Bit の適用先である ActiveX コントロールの CLSID に、新しい ActiveX コントロール (この ActiveX はセキュリティの危険性を減らすために修正されました) の CLSID を関連付ける必要がある場合、AlternateCLSID (“フェニックス ビット” とも呼ばれます) を追加できます。Office では、ActiveX コントロール COM オブジェクトが使用される場合のみ、AlternateCLSID がサポートされています。

注: Office Kill Bit リストは Internet Explorer Kill Bit リストよりも優先されます。たとえば、Office COM Kill Bit および Internet Explorer ActiveX Kill Bit は同じ ActiveX コントロールで設定される可能性があります。ただし、AlternateCLSID は Internet Explorer のリストにのみ設定されます。このシナリオでは、2 つの設定間で競合が生じます。このような場合には、Office COM Kill Bit 設定が優先されるため、コントロールは読み込まれません。

Office COM Kill Bit の設定

レジストリ内の Office COM Kill Bit を設定する場所は以下のとおりです。

Office 2013 と Office 2010 の場合:

• 64 ビット版 Windows 上の 64 ビット版 Office (または 32 ビット版 Windows 上の 32 ビット版 Office) の場合。

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

64 ビット版 Windows 上の 32 ビット版 Office の場合。

            HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Office 2016 の場合:

• 64 ビット版 Windows 上の 64 ビット版 Office (または 32 ビット版 Windows 上の 32 ビット版 Office) の場合。

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• 64 ビット版 Windows 上の 32 ビット版 Office の場合。

              HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

この場合、CLSID は COM オブジェクトのクラス識別子です。

Office COM Kill Bit を有効にするには、次の手順を実行します。

1. 読み込みをブロックする ActiveX コントロールまたは OLE オブジェクトの CLSID と一緒に、レジストリ サブキーを追加します。

2. Compatibility Flags というこのサブキーに REG_DWORD を追加し、その値を 0x00000400 に設定します。

たとえば、Office 2016 で CLSID が {77061A9C-2F18-4f38-B294-F6BCC8443D24} のオブジェクトに Office COM Kill Bit を設定するには、次の手順を実行します。

1. 次のレジストリ キーを見つけます。
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. 値が {77061A9C-2F18-4f38-B294-F6BCC8443D24} のサブキーを追加します。この場合、結果のパスは次のようになります。
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Compatibility Flags というこのサブキーに REG_DWORD を追加し、その値を 0x00000400 に設定します。

これで、このオブジェクトが Office 内で有効にならないように Office COM Kill Bit が設定されました。

リンクと埋め込みのシナリオで COM のみをブロックする方法

前述のように、COM Kill Bit 機能は、指定した COM オブジェクトの Office 内からの有効化がすべてブロックされるように更新されました。

Office ドキュメント内から埋め込まれた、またはリンクされた COM オブジェクトのみをブロックするには、次の手順を実行します。

1. 「Office Kill Bit の設定」の指示に従って CLSID を COM Kill Bit に追加します (まだ設定されていない場合)

2. ブロック対象の CLSID のサブキーに、ActivationFilterOverride という REG_DWORD を追加し、その値を 0x00000001 に設定します。

たとえば、Office 2016 で CLSID が {77061A9C-2F18-4f38-B294-F6BCC8443D24} のオブジェクトの場合、リンクおよび埋め込みのシナリオで COM Kill Bit のみをブロックするように構成するには、次の手順を実行します。

1. 次のレジストリ キーを見つけます。
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility 

2. 値が {77061A9C-2F18-4f38-B294-F6BCC8443D24} のサブキーを追加します。この場合、結果のパスは次のようになります。
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. Compatibility Flags というこのサブキーに REG_DWORD を追加し、その値を 0x00000400 に設定します。

4. ActivationFilterOverride というこのサブキーに REG_DWORD を追加し、その値を 0x00000001 に設定します。

これで、Office ドキュメントにリンクまたは埋め込まれている場合にのみ、この COM オブジェクトをブロックするように Office COM Kill Bit が設定されました。