Beveiligingsinstellingen voor COM-objecten in Office

Office COM kill bit 

De Office COM kill bit is geïntroduceerd in de beveiligingsupdate MS10-036 om te voorkomen dat specifieke COM-objecten worden uitgevoerd wanneer ze zijn ingesloten of gekoppeld vanuit Office-documenten.  

De COM Kill-bitfunctionaliteit is bijgewerkt in KB3178703 om te blokkeren dat COM-objecten in proces worden geactiveerd door Office. Deze update is een superset van het oorspronkelijke gedrag, waarbij com-objecten die zijn ingesloten of gekoppeld in Office-documenten, niet alleen worden geblokkeerd, maar ook alle exemplaren van COM-objecten die binnen het Office-proces worden geladen via andere middelen, zoals invoegingen, worden geblokkeerd. 

Deze specifieke COM-objecten zijn ActiveX-besturingselementen en OLE-objecten. Via het register kunt u onafhankelijk bepalen welke COM-objecten worden geblokkeerd wanneer u Office gebruikt. 

Opmerking:U wordt niet aangeraden de kill-bit te verwijderen die is ingesteld voor een COM-object. Als u dit doet, kunt u beveiligingsproblemen maken. De kill-bit wordt meestal ingesteld om een reden die kritiek kan zijn. Daarom moet u uiterst voorzichtig zijn wanneer u een ActiveX-besturingselement uitscholt.  
 
U kunt een AlternatieveCLSID (ook wel bekend als een 'Phoenix-bit') toevoegen als u de CLSID van een nieuw ActiveX-besturingselement (en dit ActiveX-besturingselement is gewijzigd om de beveiligingsrisico's te beperken) moet relateren aan de CLSID van het ActiveX-besturingselement waarop de Office COM-kill-bit is toegepast. Office ondersteunt de AlternateCLSID alleen wanneer ActiveX-besturingselement COM-objecten worden gebruikt.  
 
Opmerking: De kill-bitlijst voor Office heeft voorrang op de lijst met kill-bits voor Internet Explorer. De Kill Bit van Office COM en de Kill Bit van Internet Explorer ActiveX kunnen bijvoorbeeld worden ingesteld voor hetzelfde ActiveX-besturingselement. De AlternatieveCLSID is echter alleen ingesteld op de lijst voor Internet Explorer. In dit scenario is er een conflict tussen de twee instellingen. In dergelijke gevallen hebben de office COM kill bit-instellingen voorrang en wordt het besturingselement niet geladen. 

Het kill-bit van Office COM instellen

De locatie voor het instellen van de Office COM kill bit in het register is als volgt:  

Voor Office 2013 en Office 2010:

• Voor 64-bits Office op 64-bits Windows (of 32-bits Office in 32-bits Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Voor 32-bits Office op 64-bits Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Voor Office 2016:

• Voor 64 bits Office op 64-bits Windows (of 32-bits Office in 32-bits Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Voor 32-bits Office op 64-bits Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

In dit geval is CLSID de klasseaanduiding van het COM-object.  

Als u de Office COM-kill-bit wilt inschakelen, gaat u als volgt te werk:

1. Voeg de register subsleutel samen met de CLSID van het ActiveX-besturingselement of OLE-object toe dat u wilt blokkeren om te laden.

2. Voeg een REG_DWORD toe aan deze subsleutel genaamd Compatibiliteitsvlaggen en stel de waarde in op 0x00000400.

Als u bijvoorbeeld de Kill Bit van Office COM wilt instellen voor een object met CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} in Office 2016, volgt u de volgende stappen: 

1. Zoek de volgende register subsleutel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Voeg een subsleutel toe met de waarde {77061A9C-2F18-4f38-B294-F6BCC8443D24}. In dit geval is het resulterende pad als volgt:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Voeg een REG_DWORD toe aan deze subsleutel met de naam Compatibiliteitsvlaggenen stel de waarde in op 0x00000400.

De Office COM kill bit is nu ingesteld om te blokkeren dat dit object wordt geactiveerd in Office. 

Com alleen blokkeren bij het koppelen en insluiten van scenario's 

Zoals vermeld, is de functionaliteit voor COM-kill-bits bijgewerkt om alle activering van opgegeven COM-objecten vanuit Office te blokkeren.  

Als u alleen COM-objecten wilt blokkeren die zijn ingesloten of gekoppeld vanuit Office-documenten, volgt u de volgende stappen:  

1. Voeg de CLSID toe aan de COM kill bit volgens de instructies onder "De Office Kill Bitinstellen " (als deze nog niet in de lijst staat)

2. Voeg onder de subsleutel voor de geblokkeerde CLSID een REG_DWORD-waarde toe met de naam ActivationFilterOverrideen stel de waarde in op 0x00000001.

Als u bijvoorbeeld de kill bit com wilt configureren om alleen te blokkeren bij het koppelen en insluiten van scenario's voor een object met CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} in Office 2016, volgt u de volgende stappen:

1. Zoek de volgende register subsleutel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Voeg een subsleutel toe met de waarde {77061A9C-2F18-4f38-B294-F6BCC8443D24}. In dit geval is het resulterende pad als volgt:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Voeg een REG_DWORD waarde toe aan deze subsleutel met de naam Compatibiliteitsvlaggenen stel de waarde in op 0x00000400. 

4. Voeg een REG_DWORD toe aan deze subsleutel ActivationFilterOverrideen stel de waarde in op 0x00000001. 

De Office COM kill bit is nu ingesteld om dit COM-object alleen te blokkeren als het is gekoppeld of ingesloten in Office-documenten.