COM objektų "Office" saugos parametrai

"Office COM" naikinimo bitas 

"Office COM" naikinimo bitas įtrauktas į saugos naujinimą MS10-036, kad konkretūs COM objektai nebūtų rodomi, kai įdėtieji arba susieti su "Office" dokumentais.  

COM naikinimo bitais funkcija buvo atnaujinta " KB3178703 " visiškai blokuoti com objektus, kad jie nebūtų suaktyvinti "Office". Šis naujinimas yra pirminio elgesio, kuriame, be blokavimo COM objektų, įdėtų arba susietų naudojant "Office" dokumentus, antrinkinys bus užblokuoti visi COM objektai, kurie bus įkelti per "Office" procesą, naudojant kitas priemones, pvz., papildinius. 

Šie konkretūs COM objektai apima "ActiveX" valdiklius ir OLE objektus. Naudodami registrą, galite savarankiškai kontroliuoti, kurie COM objektai užblokuoti, kai naudojate "Office". 

PastabaNerekomenduojame šalinti naikinimo bito, kuris nustatytas COM objektui. Jei tai padarysite, galite sukurti saugos pažeidžiamumą. Naikinimo bitas paprastai nustatomas pagal priežastį, kuri gali būti labai svarbi. Todėl kai panaikinate "ActiveX" valdiklį, turite būti itin atsargūs.  
 
Galite įtraukti AlternateCLSID (dar vadinamą "Phoenix bit"), kai reikia susieti naujo "ActiveX" valdiklio CLSID (ir šis "ActiveX" valdiklis buvo modifikuotas siekiant sumažinti grėsmę saugai), prie "ActiveX" valdiklio, kuriam pritaikytas "Office COM" naikinimo bitas, CLSID. "Office" palaiko "AlternateCLSID" tik tada, kai naudojami "ActiveX" valdiklių COM objektai.  
 
Pastaba: Naikinimo bitų sąrašas, skirtas "Office", yra viršesnis už "Internet Explorer" naikinimo bitų sąrašą. Pvz., "Office COM" naikinimo bitas ir "Internet Explorer" "ActiveX" naikinimo bitas gali būti nustatytas naudoti tą patį "ActiveX" valdiklį. Tačiau AlternateCLSID nustatytas tik "Internet Explorer" sąraše. Šiame scenarijuje tarp dviejų parametrų yra konfliktas. Tokiais atvejais "Office COM" naikinimo bitų parametrai turi viršenybę ir valdiklis neįkeliamas. 

"Office COM" naikinimo bitų nustatymas

Vieta, kur galima nustatyti "Office COM" naikinimo bitą registre, yra tokia:  

Jei turite "Office 2013" ir "Office 2010":

• 64 bitų "Office", skirto "64", "Windows" (arba 32 bitų "Office", skirto "32" "Windows").

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Jei naudojate "32", "Office" 64 bitų "Windows":

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Jei turite "Office 2016":

• Jei naudojate "64", "Office", skirtą "64", "Windows" (arba 32 bitų 32 "Office" sistemoje "Windows"):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Jei naudojate "32", "Office" 64 bitų "Windows":

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

Šiuo atveju CLSID yra COM objekto klasės identifikatorius.  

Norėdami įgalinti "Office COM" naikinimo bitą, atlikite šiuos veiksmus:

1. Įtraukite registro dalinį raktą kartu su "ActiveX" valdiklio arba OLE objekto, kurį norite blokuoti įkėlimą, CLSID.

2. Įtraukite REG_DWORD į šį dalinį raktą, pavadintą suderinamumo vėliavėlės ir nustatykite jo reikšmę į 0x00000400.

Pavyzdžiui, Norėdami nustatyti "Office COM" naikinimo bitą objektui, kuris turi CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} "Office 2016", atlikite šiuos veiksmus: 

1. Raskite šį dalinį registro raktą:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Įtraukite dalinį raktą su reikšme {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Šiuo atveju gautas maršrutas yra toks:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Įtraukite REG_DWORD į šį dalinį raktą, pavadintą suderinamumo vėliavėlėsir nustatykite jo reikšmę į 0x00000400.

Dabar "Office COM" naikinimo bitas nustatytas blokuoti šį objektą "Office". 

Kaip blokuoti COM susiejimą ir įterpimo scenarijus 

Kaip minėta, COM naikinimo bitais funkcija atnaujinta, kad būtų blokuoti visi nurodytų COM objektų suaktyvinimas "Office".  

Norėdami tik blokuoti COM objektus, kurie yra įdėtieji arba susieti iš "Office" dokumentų, atlikite šiuos veiksmus:  

1. Įtraukite CLSID į COM naikinimo bitą už instrukcijas dalyje "nustatymas"Office "naikinimo bitą" (jei jis dar nėra sąraše)

2. Dalyje blokuojamų CLSID rakto, įtraukite REG_DWORD reikšmę, pavadintą Activationfilteroverride, ir nustatykite jos reikšmę 0x00000001.

Pvz., jei norite konfigūruoti COM naikinimo bitą, kad būtų blokuojama tik objekto, kuriame yra CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} "Office 2016".

1. Raskite šį dalinį registro raktą:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Įtraukite dalinį raktą, kurio reikšmė yra {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Šiuo atveju gautas maršrutas yra toks:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Įtraukite REG_DWORD reikšmę į šį dalinį raktą, kuris pavadintas suderinamumo vėliavas, ir nustatykite jo reikšmę į 0x00000400. 

4. Įtraukite REG_DWORD į šį dalinį raktą, pavadintą Activationfilteroverride, ir nustatykite jo reikšmę į 0x00000001. 

Dabar "Office COM" naikinimo bitas nustatytas blokuoti šį COM objektą tik tuo atveju, jei jis susietas arba įdėtasis "Office" dokumentuose.