Параметры безопасности объектов COM в Office

Office COM kill bit 

В обновлении системы безопасности MS10-036 впервые был представлен элемент "Office COM kill" для предотвращения запуска определенных COM-объектов при внедрении или связи с документами Office.  

Функция блокировки COM была обновлена в KB3178703, чтобы полностью заблокировать активацию объектов COM в процессе office. Это обновление является более частью исходного поведения, в котором блокирование внедренных или связанных com-объектов в документах Office блокирует любые экземпляры COM-объектов, которые загружаются в процессе Office другими способами, например с помощью надстройок. 

К таким объектам COM относятся ActiveX и объекты OLE. С помощью реестра вы можете независимо контролировать, какие объекты COM блокируются при использовании Office. 

Примечание. Мы не рекомендуем удалять бит для обоймы, установленный для COM-объекта. Это может привести к уязвимостям в системе безопасности. Этот бит обычно устанавливается по причине, которая может быть критической. Поэтому будьте очень внимательны, если вы не можете сделать ActiveX контроля.  
 
Если нужно связать CLSID нового управления ActiveX (и этот ActiveX был изменен для снижения угрозы безопасности), его можно добавить в CLSID этого ActiveX-бита. Office поддерживает AlternateCLSID только при ActiveX управления COM-объектами.  
 
Примечание. Этот список имеет приоритет над списком kill bit для Internet Explorer. Например, в Office COM может быть установлен ActiveX для того же ActiveX. Но альтернативныйCLSID задан только для списка Internet Explorer. В этом сценарии между этими двумя настройками возник конфликт. В таких случаях параметры office COM предшествуют приоритету, а управление не загружается. 

Настройка параметра "Office COM kill bit"

Параметр "Office COM kill bit" в реестре может быть следующим:  

Для Office 2013 и Office 2010:

• Для 64-битной версии Office в 64-битной версии Windows (или 32-битной версии Office в 32-битной версии Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Для 32-битной версии Office в 64-битной версии Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Для Office 2016:

• Для 64-битной версии Office в 64-битной версии Windows (или 32-битной версии Office в 32-битной версии Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Для 32-битной версии Office в 64-битной версии Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

В данном случае CLSID — это идентификатор класса объекта COM.  

Чтобы включить office COM kill bit, выполните следующие действия:

1. Добавьте подразряд реестра вместе с CLSID ActiveX или объектом OLE, который вы хотите заблокировать для загрузки.

2. Добавьте в подменю REG_DWORD под названием "Флаги совместимости" и установите для его значения значение 0x00000400.

Например, чтобы настроить в Office 2016 метку kill для объекта с CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} в Office 2016, выполните указанные здесь действия. 

1. Найдите следующий подкомай реестра:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Добавьте подменю со значением {77061A9C-2F18-4f38-B294-F6BCC8443D24}. В этом случае путь будет следующим:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Добавьте в REG_DWORD подменю с именем "Флагисовместимости" и установите для него значение 0x00000400.

Блокировка com Office теперь блокирует активацию этого объекта в Office. 

Блокировка COM только в сценариях связывания и embedding 

Как уже было указано, обновленные функции блокировки com были обновлены, чтобы заблокировать все активации определенных объектов COM в Office.  

Чтобы заблокировать только объекты COM, внедренные в документы Office или связанные с ними, выполните следующие действия:  

1. Добавьте CLSID в бит для управления COM согласно инструкциям в статье "Настройкаoffice Kill Bit"(если его еще нет в списке)

2. Под подкодомом заблокированного CLSID добавьте значение REG_DWORD ActivationFilterOverrideи задайте для него значение 0x00000001.

Например, чтобы настроить блокировку блокировки COM только при связывания и встраии объектов с CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} в Office 2016, выполните следующие действия:

1. Найдите следующий подменю реестра:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Добавьте подзагрузку со значением {77061A9C-2F18-4f38-B294-F6BCC8443D24}. В этом случае путь будет следующим:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Добавьте значение REG_DWORD для этого подменю с именем "Флаги совместимости" и установите для него значение 0x00000400. 

4. Добавьте в REG_DWORD подменю ActivationFilterOverrideи задайте для нее значение 0x00000001. 

Элемент блокировки COM Office теперь блокирует этот COM-объект только в том случае, если он связан или внедрен в документы Office.