Atenție
Acest articol conține informații care vă arată cum să controlați setările de securitate pentru Office. Puteți face modificări la aceste setări de securitate pentru a vă crește sau a vă reduce poziția de securitate. Înainte de a face aceste modificări, vă recomandăm să evaluați riscurile asociate cu orice modificări efectuate pentru a configura această setare.
INTRODUCERE
Acest articol descrie setările disponibile pentru utilizatori și administratorii IT pentru a controla dacă și cum se încarcă obiectele COM, având o listă de "biți de terminare" Microsoft Office.
Pentru mai multe informații despre comportamentul "kill bit" din Windows Internet Explorer pe care se bazează această caracteristică, inclusiv despre cum să setați AlternateCLSIDs care permit încărcarea controalelor ActiveX actualizate, consultați Cum se oprește rularea unui control ActiveX în Internet Explorer.
Aceste instrucțiuni se aplică pentru Microsoft Word, Microsoft Excel, Microsoft PowerPoint, Microsoft Publisher și Microsoft Visio.
Bit de terminare Office COM
Versiunea de terminare Office COM a fost introdusă în actualizarea de securitate MS10-036 pentru a împiedica rularea anumitor obiecte COM atunci când sunt încorporate sau legate din documente Office.
Funcționalitatea COM Kill bit a fost actualizată în KB3178703 pentru a bloca complet activarea în proces de către Office a obiectelor COM. Această actualizare este un superset al comportamentului inițial în care, în plus față de blocarea obiectelor COM încorporate sau legate în documente Office, acest lucru va bloca toate instanțele de obiecte COM încărcate în procesul Office prin alte mijloace, cum ar fi programele de completare.
Aceste obiecte COM specifice includ controale ActiveX și obiecte OLE. Prin intermediul registry, puteți să controlați în mod independent obiectele COM care sunt blocate atunci când utilizați Office.
Notă: Nu recomandăm eliminarea bitului de terminare setat pentru un obiect COM. Dacă faceți acest lucru, este posibil să creați vulnerabilități de securitate. Bitul de terminare este setat de obicei dintr-un motiv care ar putea fi critic. Prin urmare, trebuie să fiți extrem de atent atunci când anulați eliminarea unui control ActiveX.
Puteți adăuga un CLSID alternativ (numit și "bit Phoenix") atunci când trebuie să corelați CLSID-ul unui control ActiveX nou (și acest control ActiveX a fost modificat pentru a reduce amenințarea de securitate) cu CLSID al controlului ActiveX la care s-a aplicat "bitul de terminare Office COM". Office acceptă AlternateCLSID numai atunci când se utilizează obiecte COM de control ActiveX.
Notă: Lista de biți de terminare pentru Office are prioritate față de lista de biți de terminare pentru Internet Explorer. De exemplu, "bitul de terminare" Office COM și "bitul de terminare" ActiveX Internet Explorer pot fi setate pentru același control ActiveX. Dar AlternateCLSID este setat doar în lista pentru Internet Explorer. În acest scenariu, există un conflict între cele două setări. În astfel de cazuri, setările "bit de terminare" Office COM au prioritate și controlul nu este încărcat.
Setarea bitului de terminare Office COM
Important
- Această secțiune, metodă sau activitate conține pași care vă indică modalități de modificare a registry. Totuși, pot apărea probleme grave dacă faceți modificări incorecte în registry. Prin urmare, asigurați-vă că urmați acești pași cu atenție. Pentru protecție suplimentară, faceți o copie backup la registry înainte de a-l modifica. Apoi, puteți să restaurați registry dacă apare o problemă. Pentru informații suplimentare despre copierea de rezervă și restaurarea sistemului registry, faceți clic pe următorul număr de articol din Baza de cunoștințe Microsoft:
- 322756 Cum să faceți backup și să restaurați registry în Windows
Locația pentru setarea bitului de terminare Office COM în registry este după cum urmează:
Pentru Office 2013 și Office 2010:
- Pentru Office pe 64 de biți pe Windows pe 64 de biți (sau Office pe 32 de biți pe Windows pe 32 de biți).
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}
Pentru Office pe 32 de biți pe Windows pe 64 de biți:
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}
Pentru Office 2016:
- Pentru Office pe 64 de biți pe Windows pe 64 de biți (sau Office pe 32 de biți pe Windows pe 32 de biți):
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID} - Pentru Office pe 32 de biți pe Windows pe 64 de biți:
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}
În acest caz, CLSID este identificatorul de clasă al obiectului COM.
Pentru a activa versiunea de terminare Office COM, urmați acești pași:
- Adăugați subcheia de registry împreună cu CLSID al controlului ActiveX sau al obiectului OLE la care doriți să blocați încărcarea.
- Adăugați la această subcheie o REG_DWORD numită Semnalizări de compatibilitate și setați-i valoarea la 0x00000400.
De exemplu, pentru a seta versiunea de terminare Office COM pentru un obiect care are CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} în Office 2016, urmați acești pași:
Găsiți următoarea subcheie de registry:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility
Adăugați o subcheie cu valoarea {77061A9C-2F18-4f38-B294-F6BCC8443D24}. În acest caz, calea rezultată este după cum urmează:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}
Adăugați un REG_DWORD la această subcheie numită Semnalizări de compatibilitate și setați-i valoarea la 0x00000400.
Off-ul de terminare Office COM este setat acum să blocheze activarea acestui obiect în Office.
Cum să blocați COM doar în scenarii de legare și încorporare
După cum am menționat, funcționalitatea COM kill bit a fost actualizată pentru a bloca activarea obiectelor COM specificate din Office.
Pentru a bloca numai obiectele COM care sunt încorporate sau legate din documente Office, urmați acești pași:
- Adăugați CLSID la "Bitul de terminare" COM, conform instrucțiunilor de sub "Setarea Bitului de terminare Office" (dacă nu se află deja în listă)
- Sub subcheia pentru codul CLSID blocat, adăugați o valoare REG_DWORD numită ActivationFilterOver și setați valoarea la 0x00000001.
De exemplu, pentru a configura "bitul de terminare COM" să fie blocat doar în scenariile de legare și încorporare pentru un obiect care are CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} în Office 2016, urmați acești pași:
Găsiți următoarea subcheie de registry:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility
Adăugați o subcheie care are valoarea {77061A9C-2F18-4f38-B294-F6BCC8443D24}. În acest caz, calea rezultată este după cum urmează:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}
Adăugați o valoare REG_DWORD la această subcheie numită Semnalizări de compatibilitate și setați-i valoarea la 0x00000400.
Adăugați o REG_DWORD la această subcheie, numită ActivationFilterOverride, și setați-i valoarea la 0x00000001.
Bitul de terminare Office COM este setat acum să blocheze acest obiect COM doar dacă este legat sau încorporat în documente Office.
Controale ale căror activări sunt blocate în mod implicit
| Control | Cod CLSID |
|---|---|
| ScriptMoniker | 06290BD3-48AA-11D2-8432-006008C3FBFC |
| SoapActivator | ECABAFD0-7F19-11D2-978E-0000F8757E2A |
| SoapMoniker | ECABB0C7-7F19-11D2-978E-0000F8757E2A |
| PartitionMoniker | ECABB0C5-7F19-11D2-978E-0000F8757E2A |
| QueueMoniker | ECABAFC7-7F19-11D2-978E-0000F8757E2A |
| HTMLApplication | 3050F4D8-98B5-11CF-BB82-00AA00BDCE0B |
| ScripletContext | 06290BD0-48AA-11D2-8432-006008C3FBFC |
| ScripletConstructor | 06290BD1-48AA-11D2-8432-006008C3FBFC |
| ScripletFactory | 06290BD2-48AA-11D2-8432-006008C3FBFC |
| ScripletHostEncode | 06290BD4-48AA-11D2-8432-006008C3FBFC |
| ScripletTypeLib | 06290BD5-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_Automation | 06290BD8-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_Event | 06290BD9-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_ASP | 06290BDA-48AA-11D2-8432-006008C3FBFC |
| ScripletHandler_Behavior | 06290BDB-48AA-11D2-8432-006008C3FBFC |
| XMLFeed | 528D46B3-3A4B-4B13-BF74-D9CBD7306E07 |
| Scriptlet | AE24FDAE-03C6-11D1-8B76-0080C744F389 |
| HtmlFile_FullWindowEmbed | 25336921-03F9-11CF-8FD0-00AA00686F13 |
| fișiermhtml | 3050F3D9-98B5-11CF-BB82-00AA00BDCE0B |
| Microsoft HTA Document 6.0 | 3050F5C8-98B5-11CF-BB82-00AA00BDCE0B |
| DHTMLEdit.DHTMLEdit.1 | 2D360200-FFF5-11D1-8D03-00A0C959BC0A |
| DHTMLSafe.DHTMLSafe.1 | 2D360201-FFF5-11D1-8D03-00A0C959BC0A |
| Limbaj de script VB | B54F3741-5B07-11cf-A4B0-00AA004A55E8 |
| Crearea limbajului de script VB | B54F3742-5B07-11cf-A4B0-00AA004A55E8 |
| Codificare limbă VBScript | B54F3743-5B07-11cf-A4B0-00AA004A55E8 |
| Codificare gazdă VBScript | 85131631-480C-11D2-B1F9-00C04F86C324 |
| Shockwave Flash Object | D27CDB6E-AE6D-11cf-96B8-444553540000 |
| Macromedia Flash Factory Object | D27CDB70-AE6D-11cf-96B8-444553540000 |
| Microsoft Silverlight | DFEAF541-F3E1-4C24-ACAC-99C30715084A |
| Adobe Shockwave Player | 233C1507-6A77-46A4-9443-F871F945D258 |
| Control Python | DF630910-1C1D-11D0-AE36-8C0F5E000000 |
Controale a căror încorporare este blocată în mod implicit
| Control | Cod CLSID |
|---|---|
| Shell.Explorer.2 | 8856F961-340A-11D0-A96B-00C04FD705A2 |
| Fișierhtml | 25336920-03F9-11CF-8FD0-00AA00686F13 |
| Document HTML Microsoft pentru fereastra popup | 3050F67D-98B5-11CF-BB82-00AA00BDCE0B |
Notă: această listă este un instantaneu al controalelor care sunt blocate și este supusă modificării