Ustawienia zabezpieczeń obiektów COM w psłudze Office

Office COM kill bit 

W aktualizacji zabezpieczeń MS10-036 wprowadzono pakiet Office COM kill-bit, aby zapobiec uruchamianiu określonych obiektów COM podczas osadzonego lub połączonego z dokumentami pakietu Office.  

Funkcja COM Kill-bit została zaktualizowana w aktualizacji KB3178703, aby całkowicie zablokować możliwość aktywowania obiektów COM w procesie przez pakiet Office. Ta aktualizacja to nadsetek oryginalnego zachowania, w którym oprócz blokowania obiektów COM osadzonych lub połączonych w dokumentach pakietu Office spowoduje to zablokowanie wszystkich wystąpień obiektów COM ładowanych w ramach procesu pakietu Office za pomocą innych środków, takich jak dodatki. 

Do tych konkretnych obiektów COM należą kontrolki ActiveX i obiekty OLE. Korzystając z rejestru, możesz niezależnie kontrolować, które obiekty COM są blokowane podczas korzystania z pakietu Office. 

Uwaga:Nie zalecamy usuwania kill-bitu ustawionego dla obiektu COM. W takim przypadku możesz utworzyć luki w zabezpieczeniach. Kill-bit jest zazwyczaj ustawiany z powodu, który może być krytyczny. W związku z tym należy zachować szczególną ostrożność w przypadku cokołychanie kontrolki ActiveX.  
 
Gdy trzeba powiązać element CLSID nowej kontrolki ActiveX (i tę kontrolkę ActiveX zmodyfikowano w celu zmniejszenia zagrożenia bezpieczeństwa), można dodać alternatywny kodCLSID (nazywany również bitem phoenix), z wartością CLSID kontrolki ActiveX, do której zastosowano pakiet Office COM kill bit. Pakiet Office obsługuje tę funkcję tylko wtedy, gdy są używane obiekty COM kontrolki ActiveX.  
 
Uwaga: Lista kill-bitów dla pakietu Office ma pierwszeństwo przed listą kill-bit w programie Internet Explorer. Na przykład dla tej samej kontrolki ActiveX można ustawić dla office COM kill bit i Internet Explorer ActiveX kill bit. Jednak wartość AlternateCLSID jest ustawiana tylko na liście programu Internet Explorer. W tym scenariuszu występuje konflikt między tymi dwoma ustawieniami. W takich przypadkach ustawienia office COM kill bit mają pierwszeństwo, a kontrolka nie jest ładowana. 

Ustawianie kill-bitu usługi Office COM

Lokalizacja ustawiania kill-bitów pakietu Office w rejestrze jest następująca:  

W przypadku pakietu Office 2013 i Office 2010:

• 64-bitowa wersja pakietu Office w 64-bitowym systemie Windows (lub 32-bitowa wersja pakietu Office w 32-bitowym systemie Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

W przypadku 32-bitowej wersji pakietu Office w 64-bitowym systemie Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Dla pakietu Office 2016:

• W przypadku 64-bitowej wersji pakietu Office w 64-bitowej wersji systemu Windows (lub 32-bitowej wersji pakietu Office w 32-bitowej wersji systemu Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• W przypadku 32-bitowej wersji pakietu Office w 64-bitowym systemie Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

W tym przypadku CLSID jest identyfikatorem klasy obiektu COM.  

Aby włączyć pakiet Office COM kill bit, wykonaj następujące czynności:

1. Dodaj podklucz rejestru wraz z identyfikatorem CLSID kontrolki ActiveX lub obiektu OLE, który ma być blokowany przez ładowanie.

2. Dodaj do REG_DWORD podklucza nazwę Flagi zgodności i ustaw jego wartość na 0x00000400.

Aby na przykład ustawić kill-bit office COM dla obiektu, który w psłudze Office 2016 zawiera identyfikator CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} w psłudze Office 2016, wykonaj następujące czynności: 

1. Znajdź następujący podklucz rejestru:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Dodaj podklucz o wartości {77061A9C-2F18-4f38-B294-F6BCC8443D24}. W tym przypadku ścieżka wynikowa jest następująca:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Dodaj REG_DWORD podklucza o nazwie Flagizgodności i ustaw jego wartość na 0x00000400.

W usłudze Office COM kill bit ustawiono teraz blokowanie aktywowania tego obiektu w psłudze Office. 

Jak blokować tylko com w scenariuszach łączenia i osadzania 

Jak wspomniano, funkcja COM kill-bit została zaktualizowana w celu zablokowania wszystkich aktywacji określonych obiektów COM z poziomu pakietu Office.  

Aby blokować tylko obiekty COM, które są osadzone lub połączone z poziomu dokumentów pakietu Office, wykonaj następujące czynności:  

1. Dodaj wartości CLSID do instrukcji COM kill bit zgodnie z instrukcjami podanymi w te sposób: "Ustawianie officeKill Bit"(jeśli nie ma go jeszcze na liście)

2. Pod kluczem podklucza zablokowanego kodu CLSID dodaj wartość REG_DWORD o nazwie ActivationFilterOverridei ustaw dla tej wartości wartość 0x00000001.

Aby na przykład skonfigurować plik COM kill-bit w taki sposób, aby blokował tylko w scenariuszach łączenia i osadzania dla obiektu, który w psłudze Office 2016 zawiera identyfikator CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} w psłudze Office 2016, wykonaj następujące czynności:

1. Znajdź następujący podklucz rejestru:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Dodaj podklucz o wartości {77061A9C-2F18-4f38-B294-F6BCC8443D24}. W tym przypadku ścieżka wynikowa jest następująca:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Dodaj wartość REG_DWORD do tego podklucza o nazwie Flagizgodności, a następnie ustaw jego wartość na 0x00000400. 

4. Dodaj kod REG_DWORD do tego podklucza o nazwie ActivationFilterOverridei ustaw jego wartość na 0x00000001. 

W przypadku office COM kill bit ustawiono teraz blokowanie tego obiektu COM tylko wtedy, gdy jest on połączony lub osadzony w dokumentach pakietu Office.