Setările de securitate pentru obiectele COM din Office

Office COM kill bit 

Bitul Office COM Kill a fost introdus în actualizarea de securitate MS10-036 pentru a împiedica executarea anumitor obiecte COM atunci când sunt încorporate sau legate din documentele Office.  

Funcționalitatea COM kill bit a fost actualizată în KB3178703 pentru a bloca complet obiectele com de la a fi activate în timpul procesului de către Office. Această actualizare este o superset a comportamentului inițial în care, în plus față de blocarea obiectelor COM încorporate sau legate în documente Office, aceasta va bloca toate instanțele de obiecte COM încărcate în procesul Office prin alte mijloace, cum ar fi programe de completare. 

Aceste obiecte COM specifice includ controale ActiveX și obiecte OLE. Prin registry, puteți să controlați în mod independent ce obiecte COM sunt blocate atunci când utilizați Office. 

NotăNu recomandăm să eliminați bitul de ucidere setat pentru un obiect COM. Dacă procedați astfel, este posibil să creați vulnerabilități de securitate. Bitul de ucidere este setat de obicei pentru un motiv care poate fi critic. Prin urmare, trebuie să fiți foarte atent atunci când deucideți un control ActiveX.  
 
Puteți să adăugați un AlternateCLSID (denumit și "bit Phoenix") atunci când trebuie să raportați CLSID-ul unui nou control ActiveX (iar acest control ActiveX a fost modificat pentru a reduce amenințarea de securitate), la CLSID-ul controlului ActiveX la care s-a aplicat bitul Office COM Kill. Office acceptă AlternateCLSID numai atunci când se utilizează obiecte COM control ActiveX.  
 
Notă: Lista biți de ucidere pentru Office are prioritate față de lista de biți Kill pentru Internet Explorer. De exemplu, bitul Office COM kill bit și Internet Explorer ActiveX kill bit pot fi setate pentru același control ActiveX. Dar AlternateCLSID este setat doar pe lista pentru Internet Explorer. În acest scenariu, există un conflict între cele două setări. În asemenea situații, setările de biți Office COM Kill sunt prioritare și controlul nu este încărcat. 

Setarea bit Office COM Kill

Locația pentru a seta bitul Office COM Kill în registry este următorul:  

Pentru Office 2013 și Office 2010:

• Pentru Office pe 64 de biți pe Windows 64 pe biți (sau pe 32-bit Office pe 32-bit Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Pentru Office 32 pe 64-bit Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Pentru Office 2016:

• Pentru Office pe 64 de biți pe Windows 64 pe biți (sau pe 32-bit Office pe 32-bit Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Pentru Office 32 pe 64-bit Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

În acest caz, CLSID este identificatorul clasei pentru obiectul COM.  

Pentru a activa bitul Office COM Kill, urmați acești pași:

1. Adăugați subcheia de registry împreună cu CLSID-ul controlului ActiveX sau al obiectului OLE pe care doriți să-l blocați de la încărcare.

2. Adăugați un REG_DWORD la această subcheie numită steaguri de compatibilitate și setați valoarea sa la 0x00000400.

De exemplu, pentru a seta bitul Office COM Kill pentru un obiect care are CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} în Office 2016, urmați acești pași: 

1. Găsiți următoarea subcheie de registry:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Adăugați o subcheie cu valoarea {77061A9C-2F18-4f38-B294-F6BCC8443D24}. În acest caz, calea rezultată este următoarea:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Adăugați un REG_DWORD la această subcheie care numește steaguri de compatibilitateși setați valoarea sa la 0x00000400.

Bitul Office COM Kill este acum setat pentru a bloca ca acest obiect să fie activat în Office. 

Cum se blochează doar COM în scenariile de legare și încorporare 

Așa cum s-a menționat, funcționalitatea COM kill bit a fost actualizată pentru a bloca toate activarea obiectelor COM specificate din interiorul Office.  

Pentru a bloca doar obiectele COM care sunt încorporate sau legate din documentele Office, urmați acești pași:  

1. Adăugați CLSID la bitul COM Kill per instrucțiunile de sub "Setarea Biții de Office Kill" (dacă nu se află deja pe listă)

2. Sub subcheia pentru CLSID blocată, adăugați o valoare REG_DWORD denumită ActivationFilterOverrideși setați valoarea sa la 0x00000001.

De exemplu, pentru a configura bitul COM Kill pentru a bloca doar în scenariile de legare și încorporare pentru un obiect care are CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} în Office 2016, urmați acești pași:

1. Găsiți următoarea subcheie de registry:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Adăugați o subcheie care are valoarea {77061A9C-2F18-4f38-B294-F6BCC8443D24}. În acest caz, calea rezultată este următoarea:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Adăugați o valoare REG_DWORD la această subcheie care numește steaguri de compatibilitateși setați valoarea sa la 0x00000400. 

4. Adăugați un REG_DWORD la această subcheie numită ActivationFilterOverrideși setați valoarea sa la 0x00000001. 

Bitul Office COM Kill este acum setat să blocheze acest obiect COM numai dacă este legat sau încorporat în documente Office.