Säkerhetsinställningar för COM-objekt i Office

Office COM kill bit 

Office COM-"kill bit" infördes i säkerhetsuppdateringen MS10-036 för att förhindra att vissa COM-objekt körs när de bäddas in eller länkas från Office-dokument.  

Funktionen COM Kill bit har uppdaterats i KB3178703 för att helt blockera COM-objekt från att aktiveras i processen av Office. Den här uppdateringen är en stor del av det ursprungliga beteendet där, förutom att blockera COM-objekt inbäddade eller länkade i Office-dokument, blockerar detta alla instanser av COM-objekt som läses in i Office-processen på andra sätt, till exempel tillägg. 

Dessa specifika COM-objekt omfattar ActiveX-kontroller och OLE-objekt. Via registret kan du styra vilka COM-objekt som blockeras när du använder Office. 

Obs!Vi rekommenderar inte att du tar bort den "kill bit" som är inställd för ett COM-objekt. I så fall kan säkerhetsbrister skapas. "kill bit" anges vanligtvis av en anledning som kan vara kritisk. Du måste därför vara mycket försiktig när du tar bort en ActiveX-kontroll.  
 
Du kan lägga till en AlternateCLSID (kallas även "Phoenix bit") när du vill relatera CLSID för en ny ActiveX-kontroll (och denna ActiveX-kontroll ändrades för att minska säkerhetshotet), till CLSID för ActiveX-kontrollen som Office COM-avlivningsbiten tillämpats på. Office stöder bara AlternateCLSID när COM-objekt med ActiveX-kontroll används.  
 
Obs! "kill bit list for Office" har företräde framför "kill bit list" för Internet Explorer. Till exempel kan Office COM-"kill bit" och Internet Explorer ActiveX kill bit ställas in för samma ActiveX-kontroll. Men AlternateCLSID är endast inställt på listan för Internet Explorer. I det här scenariot uppstår en konflikt mellan de två inställningarna. I sådana fall har inställningarna för "COM kill bit" företräde, och kontrollen läses inte in. 

Ange Office COM-"kill bit"

Platsen för att ange Office COM-"kill bit" i registret är följande:  

För Office 2013 och Office 2010:

• För 64-bitars office på 64-bitars Windows (eller 32-bitars Office på 32-bitars windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

För 32-bitars office på 64-bitars Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

För Office 2016:

• För 64-bitars office på 64-bitars Windows (eller 32-bitars Office på 32-bitars Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• För 32-bitars office på 64-bitars Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

I det här fallet är CLSID klassidentifieraren för COM-objektet.  

Aktivera Office COM-killbiten genom att följa de här stegen:

1. Lägg till registerundernyckeln tillsammans med CLSID för ActiveX-kontrollen eller OLE-objektet som du vill blockera från inläsning.

2. Lägg till REG_DWORD undernyckeln Kompatibilitetsflaggor och ställ in dess värde på 0x00000400.

Om du till exempel vill ange Office COM-killbiten för ett objekt som har CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} i Office 2016 gör du så här: 

1. Leta upp följande registerundernyckel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Lägg till en undernyckel med värdet {77061A9C-2F18-4f38-B294-F6BCC8443D24}. I det här fallet följer den resulterande sökvägen:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Lägg till REG_DWORD fråga i den här undernyckeln med namnet Kompatibilitetsflaggoroch ställ in dess värde på 0x00000400.

Office COM-"kill bit" är nu inställd på att blockera objektet från att aktiveras i Office. 

Hur du bara blockerar COM i länknings- och inbäddningsscenarier 

Som nämnts har com kill bit-funktionen uppdaterats för att blockera all aktivering av angivna COM-objekt inifrån Office.  

Följ de här stegen om du bara vill blockera COM-objekt som är inbäddade eller länkade inifrån Office-dokument:  

1. Lägg till CLSID till COM-aningen enligt anvisningarna under "Setting the Office Kill Bit" (om det inte redan finns på listan)

2. Under undernyckeln för det CLSID som är blockerat lägger du till ett REG_DWORD-värde som heter ActivationFilterOverrideoch anger värdet till 0x00000001.

Om du till exempel vill konfigurera COM-killbiten för att bara blockera i länknings- och inbäddningsscenarier för ett objekt som har CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} i Office 2016 följer du de här stegen:

1. Leta upp följande registerundernyckel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Lägg till en undernyckel som har värdet {77061A9C-2F18-4f38-B294-F6BCC8443D24}. I det här fallet ser den resulterande sökvägen ut så
   
   här:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Lägg till REG_DWORD värde i den här undernyckelnmed namnet Kompatibilitetsflaggoroch ställ in dess värde på 0x00000400 . 

4. Lägg till REG_DWORD namn i den här undernyckeln ActivationFilterOverrideoch ställ in dess värde på 0x00000001. 

Office COM-"kill bit" är nu inställd på att blockera com-objektet bara om det är länkat eller inbäddat i Office-dokument.