Sikkerhetsinnstillinger for COM-objekter i Office

Office COM kill bit 

Office COM-kill bit ble introdusert i sikkerhetsoppdateringen MS10-036 for å hindre at bestemte COM-objekter kjører når de bygges inn eller kobles fra Office-dokumenter.  

Com Kill bit-funksjonaliteten er oppdatert i KB3178703 for å blokkere COM-objekter fullstendig fra å bli aktivert i prosess av Office. Denne oppdateringen er et overordnet sett med den opprinnelige virkemåten, og i tillegg til å blokkere COM-objekter som er innebygd eller koblet i Office-dokumenter, blokkeres alle forekomster av COM-objekter som lastes inn i Office-prosessen på andre måter, for eksempel tillegg. 

Disse bestemte COM-objektene omfatter ActiveX-kontroller og OLE-objekter. Gjennom registeret kan du uavhengig kontrollere hvilke COM-objekter som blokkeres når du bruker Office. 

Obs!Vi anbefaler ikke at du fjerner kill bit som er angitt for et COM-objekt. Hvis du gjør dette, kan du opprette sikkerhetsproblemer. Kill bit er vanligvis angitt av en grunn som kan være kritisk. Derfor må du være svært forsiktig når du senker en ActiveX-kontroll.  
 
Du kan legge til en AlternateCLSID (også kjent som en "Phoenix-bit") når du må relatere CLSID for en ny ActiveX-kontroll (og denne ActiveX-kontrollen ble endret for å redusere sikkerhetstrusselen), til CLSIDen for ActiveX-kontrollen der Office COM-kill bit ble brukt. Office støtter bare AlternateCLSID når ActiveX-kontroller COM-objekter brukes.  
 
Obs! Kill bit-listen for Office har forrang over kill bit-listen for Internet Explorer. Office COM-kill bit og Internet Explorer ActiveX-kill bit kan for eksempel angis for samme ActiveX-kontroll. AlternativCLSID er stilt inn bare på listen for Internet Explorer. I dette scenarioet er det en konflikt mellom de to innstillingene. I slike tilfeller har kill bit-innstillingene for Office COM prioritet, og kontrollen lastes ikke inn. 

Angi Office COM-kill bit

Plasseringen for å angi Office COM-kill bit i registeret er som følger:  

For Office 2013 og Office 2010:

• For 64-biters Office på 64-biters Windows (eller 32-biters Office på 32-biters Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

For 32-biters Office på 64-biters Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

For Office 2016:

• For 64-biters Office på 64-biters Windows (eller 32-biters Office på 32-biters Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• For 32-biters Office på 64-biters Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

I dette tilfellet er CLSID klasseidentifikatoren for COM-objektet.  

Følg disse trinnene for å aktivere Office COM-kill bit:

1. Legg til registerundernøkkelen sammen med CLSIDen til ActiveX-kontrollen eller OLE-objektet som du vil blokkere fra innlasting.

2. Legg til REG_DWORD i denne undernøkkelen som heter Kompatibilitetsflagg, og angi verdien til 0x00000400.

Hvis du for eksempel vil angi Office COM-kill bit for et objekt som har CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} på Office 2016, følger du disse trinnene: 

1. Finn følgende registerundernøkkel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Legg til en undernøkkel med verdien {77061A9C-2F18-4f38-B294-F6BCC8443D24}. I dette tilfellet er den resulterende banen som følger:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Legg til REG_DWORD i denne undernøkkelen som heter Kompatibilitetsflagg, og angi verdien til 0x00000400.

Office COM-kill bit er nå satt til å blokkere dette objektet fra å bli aktivert i Office. 

Slik blokkerer du bare COM i koblings- og innebyggingsscenarioer 

Som nevnt har COM-kill bit-funksjonaliteten blitt oppdatert for å blokkere all aktivering av angitte COM-objekter fra Office.  

Hvis du bare vil blokkere COM-objekter som er innebygd eller koblet fra Office-dokumenter, følger du disse trinnene:  

1. Legg til CLSIDen i COM-kill-biten i henhold til instruksjonene under"Angi Office Kill Bit"(hvis den ikke er på listen allerede)

2. Legg til en REG_DWORD som heter ActivationFilterOverrideunder undernøkkelen for CLSID-en som er blokkert,og angi verdien til 0x00000001 .

Hvis du for eksempel vil konfigurere COM-kill bit til å blokkere bare i koblings- og innebyggingsscenarioer for et objekt som har CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} på Office 2016, følger du disse trinnene:

1. Finn følgende registerundernøkkel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Legg til en undernøkkel som har verdien {77061A9C-2F18-4f38-B294-F6BCC8443D24}. I dette tilfellet er den resulterende banen som følger:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Legg til REG_DWORD verdi i denne undernøkkelen som heter Kompatibilitetsflagg, og angi verdien til 0x00000400. 

4. Legg til REG_DWORD til denne undernøkkelen kalt ActivationFilterOverride, og angi verdien til 0x00000001. 

Office COM-kill bit er nå satt til å blokkere dette COM-objektet bare hvis det er koblet eller innebygd i Office-dokumenter.