Configurações de segurança para objetos COM no Office

Kill Bit COM do Office

O kill bit COM do Office foi introduzido na atualização de segurança MS10-036 para impedir que objetos COM específicos sejam executados quando inseridos ou vinculados a partir de documentos do Office.

A funcionalidade de bit kill de COM foi atualizada em KB3178703 para impedir totalmente que os objetos COM fossem ativados durante o processo pelo Office. Essa atualização é um superconjunto do comportamento original em que, além de bloquear objetos COM incorporados ou vinculados em documentos do Office, haverá o bloqueio de todas as instâncias de objetos COM que estão sendo carregados dentro do processo do Office por meio de outros meios, como Complementos.

Esses objetos COM específicos incluem controles ActiveX e objetos OLE. Através do registro, você pode controlar de forma independente quais objetos COM são bloqueados ao usar o Office.

Observação: Não recomendamos que você remova o kill bit que está definido para um objeto COM. Se você fizer isso, poderá criar vulnerabilidades de segurança. O kill bit normalmente é definido por um motivo que pode ser crítico. Portanto, você deve ter muito cuidado ao remover o kill de um controle ActiveX.  

Você pode adicionar um AlternateCLSID (também conhecido como "bit de Phoenix") quando precisa relacionar o CLSID de um novo controle ActiveX (e esse controle ActiveX foi modificado para reduzir a ameaça de segurança) para o CLSID do controle ActiveX para o qual o kill bit do COM Office foi aplicado. O Office dá suporte ao AlternateCLSID somente quando objetos COM de controle ActiveX são usados.  

Observação: a lista de kill bits do Office tem precedência sobre a lista de kill bits para o Internet Explorer. Por exemplo, o kill bit do COM Office e o kill bit do ActiveX do Internet Explorer podem ser definidos para o mesmo controle ActiveX. Mas o AlternateCLSID é definido apenas na lista do Internet Explorer. Nesse cenário, há um conflito entre as duas configurações. Em tais instâncias, as configurações de kill bit do COM Office têm precedência e o controle não é carregado.

Configurando o Kill Bit COM do Office

O local para definir o kill bit COM do Office no registro é o seguinte:

Para o Office 2013 e o Office 2010:

• Para o Office de 64 bits no Windows de 64 bits (ou Office de 32 bits no Windows de 32 bits).

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Para o Office de 32 bits no Windows de 64 bits:

            HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Para o Office 2016:

• Para o Office de 64 bits no Windows de 64 bits (ou Office de 32 bits no Windows de 32 bits):

              HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Para o Office de 32 bits no Windows de 64 bits:

              HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

Nesse caso, CLSID é o identificador de classe do objeto COM.

Para habilitar o kill bit do COM do Office, siga estas etapas:

1. Adicione a subchave do registro junto com o CLSID do controle ActiveX ou o objeto OLE cujo carregamento você deseja bloquear.

2. Adicione um REG_DWORD a esta subchave chamado Sinalizadores de Conformidade e defina seu valor como 0x00000400.

Por exemplo, para definir o kill bit do COM do Office para um objeto com CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} no Office 2016, siga estas etapas:

1. Localize a seguinte subchave do registro:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Adicione uma subchave com o valor {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Nesse caso, o caminho resultante é o seguinte:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Adicione um REG_DWORD a esta subchave chamado Sinalizadores de Conformidade e defina seu valor como 0x00000400.

O kill bit do COM do Office agora está definido para impedir que esse objeto seja ativado no Office.

Como bloquear COM apenas em cenários de vinculação e incorporação

Como mencionado anteriormente, a funcionalidade de kill bit do COM foi atualizada para bloquear toda a ativação de objetos COM especificados a partir de dentro do Office.

Para bloquear somente objetos COM inseridos ou vinculados a partir de dentro de documentos do Office, siga estas etapas:

1. Adicione o CLSID ao kill bit do COM de acordo com as instruções em "Definindo o kill bit do Office" (se ainda não estiver na lista)

2. Na subchave do CLSID bloqueado, adicione um valor de REG_DWORD chamado ActivationFilterOverride e defina seu valor como 0x00000001.

Por exemplo, para configurar o kill bit do COM para bloqueio apenas em cenários de vinculação e incorporação para um objeto com CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} no Office 2016, siga estas etapas:

1. Localize a seguinte subchave do registro:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility 

2. Adicione uma subchave que tenha o valor {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Nesse caso, o caminho resultante é o seguinte:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24} 

3. Adicione um REG_DWORD a esta subchave chamado Sinalizadores de Conformidade e defina seu valor como 0x00000400.

4. Adicione um REG_DWORD a esta subchave chamado ActivationFilterOverride e defina seu valor como 0x00000001.

O kill bit do COM do Office agora está definido para bloquear esse objeto COM somente quando ele é vinculado ou incorporado em documentos do Office.