Nastavenie zabezpečenia pre objekty COM v Office

Bit ukončenia balíka Office COM 

Bit ukončenia Office COM bol predstavený v aktualizácii zabezpečenia MS10-036, aby sa zabránilo spusteniu konkrétnych objektov COM pri vložení alebo prepojení z dokumentov balíka Office.  

Funkcia COM Kill bit bola v KB3178703 aktualizovaná tak, aby úplne blokovala objekty com pred aktiváciou v procese v rámci balíka Office. Táto aktualizácia je nadradeným pôvodným správaním, pričom okrem blokovania objektov COM vložených alebo prepojených v dokumentoch balíka Office blokuje všetky inštancie objektov COM naložené v procese balíka Office prostredníctvom iných prostriedkov, akými sú napríklad doplnky. 

Tieto konkrétne objekty COM zahŕňajú ovládacie prvky ActiveX a objekty OLE. Prostredníctvom databázy Registry môžete nezávisle ovládať, ktoré objekty COM sú blokované pri používaní balíka Office. 

PoznámkaNeodporúčame odstrániť bitu bitu, ktorý je nastavený pre objekt COM. Ak to urobíte, môžete vytvoriť chyby zabezpečenia. Bit ukončenia je zvyčajne nastavený z dôvodu, ktorý môže byť kritický. Pri odzabíjaní ovládacieho prvku ActiveX musí byť preto veľmi opatrný.  
 
Môžete pridať AlternateCLSID (známe aj ako "Phoenix bit"), keď budete musieť použiť identifikátor CLSID nového ovládacieho prvku ActiveX (a tento ovládací prvok ActiveX bol upravený tak, aby sa znížila hrozba zabezpečenia), na identifikátor CLSID ovládacieho prvku ActiveX, na ktorý sa použil bit bitu balíka Office. Balík Office podporuje AlternateCLSID iba vtedy, keď sa používajú objekty COM ovládacieho prvku ActiveX.  
 
Poznámka: Zoznam bitu bitu pre Office má prednosť pred zoznamom bitu bitu pre Internet Explorer. Pre rovnaký ovládací prvok ActiveX môže byť napríklad nastavený bit bitu Office COM a bit bitu ActiveX programu Internet Explorer. AlternateCLSID sa však nastavuje len v zozname pre Internet Explorer. V tomto scenári dochádza k konfliktu medzi týmito dvoma nastaveniami. V takýchto prípadoch majú nastavenia bitu v Office COM prednosť a ovládací prvok nie je načítaný. 

Nastavenie bitu bitu balíka Office

Umiestnenie na nastavenie bitu bitu balíka Office v databáze Registry je nasledovné:  

Pre Office 2013 a Office 2010:

• Pre 64-bitovú verziu balíka Office v 64-bitovom systéme Windows (alebo 32-bitovú verziu balíka Office vo Windowse 32-bitová verzia).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Pre 32-bitovú verziu balíka Office v 64-bitovom systéme Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Pre Office 2016:

• Pre 64-bitovú verziu balíka Office v 64-bitovom systéme Windows (alebo 32-bitová verzia balíka Office v 32-bitovom systéme Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Pre 32-bitovú verziu balíka Office v 64-bitovom systéme Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

V tomto prípade je identifikátor CLSID identifikátorom triedy objektu COM.  

Ak chcete povoliť bitovú verziu balíka Office COM, postupujte podľa týchto krokov:

1. Pridajte podkľúč databázy Registry spolu s identifikátorom CLSID ovládacieho prvku ActiveX alebo objektom OLE, ktorý chcete blokovať pri načítaní.

2. Pridajte REG_DWORD do tohto podkľúča nazývaného príznaky kompatibility a nastavte jej hodnotu na 0x00000400.

Ak chcete napríklad nastaviť bitovú verziu balíka Office COM pre objekt s identifikátorom CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} na lokalite Office 2016, postupujte podľa týchto krokov: 

1. Vyhľadajte nasledujúci podkľúč databázy Registry:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Pridajte podkľúč s hodnotou {77061A9C-2F18-4f38-B294-F6BCC8443D24}. V tomto prípade je výsledná cesta nasledujúca:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Pridajte REG_DWORD do tohto podkľúča s názvom príznaky kompatibilitya nastavte jej hodnotu na 0x00000400.

Bit ukončenia balíka Office COM je teraz nastavený tak, aby blokoval tento objekt pred aktiváciou v rámci balíka Office. 

Blokovanie COM v scenároch prepojenia a vkladania 

Ako už bolo spomenuté, funkcia COM Kill bit bola aktualizovaná tak, aby blokovala všetky aktivácie zadaných objektov COM v rámci balíka Office.  

Ak chcete iba blokovať objekty COM, ktoré sú vložené alebo prepojené v dokumentoch balíka Office, postupujte podľa týchto krokov:  

1. Pridajte identifikátor CLSID do bitu bitu na základe pokynov v častiNastavenie bitu bitu balíka Office(ak sa už nenachádza v zozname)

2. Pod podkľúčom pre identifikátor CLSID, ktorý je blokovaný, pridajte REG_DWORD hodnotu s názvom ActivationFilterOverridea nastavte jej hodnotu na 0x00000001.

Ak chcete napríklad nakonfigurovať bitovú verziu COM bitu na blokovanie iba v prípade objektov s identifikátorom CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} na lokalite Office 2016, použite tento postup:

1. Vyhľadajte nasledujúci podkľúč databázy Registry:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Pridajte podkľúč s hodnotou {77061A9C-2F18-4f38-B294-F6BCC8443D24}. V tomto prípade je výsledná cesta nasledujúca:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Pridajte do tohto podkľúča hodnotu REG_DWORD, ktorá sa nazýva príznaky kompatibility, a nastavte jej hodnotu na 0x00000400. 

4. Pridajte REG_DWORD do tohto podkľúča s názvom ActivationFilterOverridea nastavte jeho hodnotu na 0x00000001. 

Bit ukončenia balíka Office COM je teraz nastavený tak, aby blokoval tento objekt COM iba v prípade, že je prepojený alebo vložený v dokumentoch balíka Office.