Definições de segurança para objetos COM no Office

Parte de morte do Office COM 

O bit de kill do Office COM foi introduzido na atualização de segurança MS10-036 para evitar que objetos COM específicos sejam em funcionamento quando incorporados ou ligados a partir de documentos do Office.  

A funcionalidade bit COM Kill foi atualizada em KB3178703 para bloquear completamente os objetos COM de serem ativados em processo pelo Office. Esta atualização é um superconjunto do comportamento original em que, além de bloquear objetos COM incorporados ou ligados em documentos do Office, isto irá bloquear quaisquer casos de objetos COM que estão a ser carregados dentro do processo do Office através de outros meios como Add-Ins. 

Estes objetos COM específicos incluem controlos ActiveX e objetos OLE. Através do registo, pode controlar independentemente quais os objetos COM bloqueados quando utilizar o Office. 

Nota:Não recomendamos que remova a parte de morte que está definida para um objeto COM. Se fizer isto, pode criar vulnerabilidades de segurança. A parte da morte é tipicamente definida por uma razão que pode ser crítica. Por isso, deve ter muito cuidado ao desativá-lo com um controlo ActiveX.  
 
Pode adicionar um AlternateCLSID (também conhecido como "Bit Phoenix") quando tiver de relacionar o CLSID de um novo controlo ActiveX (e este controlo ActiveX foi modificado para reduzir a ameaça de segurança), ao CLSID do controlo ActiveX ao qual foi aplicado o bit de kill do Office COM. O Office suporta o AlternateCLSID apenas quando são utilizados objetos COM de controlo ActiveX.  
 
Nota: A lista de bits de morte para o Office tem precedência sobre a lista de bits de morte para o Internet Explorer. Por exemplo, o bit de kill do Office COM e o bit de morte do Internet Explorer ActiveX podem ser definidos para o mesmo controlo ActiveX. Mas o AlternateCLSID está definido apenas na lista para o Internet Explorer. Neste cenário, existe um conflito entre os dois cenários. Nestes casos, as definições de bits de eliminação do Office COM têm precedência e o controlo não está carregado. 

Definição da parte de morte do Office COM

O local para a definição da parte de morte do Office COM no registo é o seguinte:  

Para o Office 2013 e Office 2010:

• Para o Office de 64 bits no Windows de 64 bits (ou 32 bits Office em Windows de 32 bits).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Para o Office de 32 bits em Windows de 64 bits:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Para o Office 2016:

• Para o Office de 64 bits em Windows de 64 bits (ou 32 bits Office em Windows de 32 bits):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Para o Office de 32 bits em Windows de 64 bits:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

Neste caso, o CLSID é o identificador de classe do objeto COM.  

Para ativar a parte de morte do Office COM, siga estes passos:

1. Adicione o sub-chave de registo juntamente com o CLSID do controlo ActiveX ou o objeto OLE que pretende bloquear do carregamento.

2. Adicione uma REG_DWORD a esta sub-chave chamada Bandeiras de Compatibilidade e deslo valorize o seu valor para 0x00000400.

Por exemplo, para definir a parte de kill do Office COM para um objeto que tenha CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} no Office 2016, siga estes passos: 

1. Localizar o seguinte sub-chave de registo:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Adicione uma subkey com o valor {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Neste caso, o caminho resultante é o seguinte:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Adicione um REG_DWORD a esta sub-chave chamada Bandeiras de Compatibilidade,e desempate o seu valor para 0x00000400.

A parte de morte do Office COM está agora definida para impedir que este objeto seja ativado dentro do Office. 

Como bloquear apenas a COM em cenários de ligação e incorporação 

Como mencionado, a funcionalidade de bit de kill bit COM foi atualizada para bloquear toda a ativação de objetos COM especificados a partir de dentro do Office.  

Para bloquear apenas os objetos COM que estão incorporados ou ligados a partir de documentos do Office, siga estes passos:  

1. Adicione o CLSID à parte de morte COM de acordo com as instruções em "Definição do Bit de Morte do Office" (se já não estiver na lista)

2. Sob a sub-chave para o CLSID que está bloqueado, adicione um valor REG_DWORD que se chama ActivationFilterOverride, e dedipa o seu valor para 0x00000001.

Por exemplo, para configurar a parte de morte COM para bloquear apenas em cenários de ligação e incorporação para um objeto que tenha CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} no Office 2016, siga estes passos:

1. Localizar o seguinte sub-chave de registo:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Adicione uma subkey que tem o valor {77061A9C-2F18-4f38-B294-F6BCC8443D24}. Neste caso, o caminho resultante é o seguinte:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Adicione um valor REG_DWORD a esta sub-chave chamada Bandeiras de Compatibilidade,e deslo valorize o seu valor para 0x00000400. 

4. Adicione uma REG_DWORD a esta sub-chave chamada ActivationFilterOverride, e deslome o seu valor para 0x00000001. 

A parte de kill do Office COM está agora definida para bloquear este objeto COM apenas se estiver ligado ou incorporado em documentos do Office.