Office'te COM nesneleri için Güvenlik Ayarları

Office COM kill biti 

Office belgelerine ekli veya bağlıyken belirli COM nesnelerinin çalışmasını önlemek için Office COM kill biti MS10-036 güvenlik güncelleştirmesinde ekli olarak alındı.  

COM Kill bit işlevselliği KB3178703'te COM nesnelerinin Office tarafından süreç içinde etkinleştirilmelerini tamamen engellemek için güncelleştirilmiştir. Bu güncelleştirme, Office belgelerine eklenmiş veya bağlı COM nesnelerini engellemenin yanı sıra, Office işlemi içinde Eklentiler gibi başka bir araçla yüklenen COM nesnelerinin tüm örneklerini engellemiş olan özgün davranışın üst kümesidir. 

Bu belirli COM nesneleri ActiveX denetimlerini ve OLE nesnelerini içerir. Kayıt defteri aracılığıyla, Office'i kullanarak hangi COM nesnelerinin engellenmiş olduğunu bağımsız olarak kontrol edebilirsiniz. 

Not: COM nesnesi için ayarlanmış olan kill biti kaldırmanız önerilmez. Bunu yaparsanız, güvenlik açıkları oluşturabilirsiniz. Kill biti genellikle kritik bir nedenden dolayı ayarlanır. Bu nedenle, ActiveX denetimlerini geri alırken son derece dikkatli olmalısınız.  
 
Yeni bir ActiveX denetimin CLSID'sini (ve bu ActiveX denetimi, güvenlik tehdidini azaltmak için değiştirildi) Office COM kill biti uygulanmış olan ActiveX denetimine ilişkilendirmek zorundayken Bir AlternateCLSID ("Phoenix biti" olarak da bilinir) değiştirilebilir. Office yalnızca ActiveX denetimi COM nesneleri kullanılırken AlternateCLSID'i destekler.  
 
Not: Office için kill bit listesi, Internet Explorer için kill bit listesinden daha önceliklidir. Örneğin, Office COM kill biti ve Internet Explorer ActiveX kill biti aynı ActiveX denetimi için ayarlanmış olabilir. Ancak AlternateCLSID yalnızca Internet Explorer listesinde ayarlanır. Bu senaryoda, iki ayar arasında çakışma vardır. Bu gibi durumlarda, Office COM kill bit ayarları öncelikli olur ve denetim yüklenmez. 

Office COM kill biti ayarlama

Kayıt defterinde Office COM kill biti ayarlama konumu aşağıdaki gibidir:  

Office 2013 ve Office 2010 için:

• 64 bit Windows'ta 64 bit Office (veya 32 bit Windows'da 32 bit Office) için.

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

64 bit Windows'da 32 bit Office için:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Office 2016 için:

• 64 bit Windows'da 64 bit Office için (veya 32 bit Windows'da 32 bit Office):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• 64 bit Windows'da 32 bit Office için:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

Bu durumda CLSID, COM nesnesinin sınıf tanımlayıcısıdır.  

Office COM kill biti etkinleştirmek için şu adımları izleyin:

1. Yüklemesini engellemek istediğiniz ActiveX denetimi veya OLE nesnesinin CLSID'si ile birlikte kayıt defteri alt anahtarını ekleyin.

2. Uyumluluk Bayrakları REG_DWORD adlı bu alt anahtara bir metin ekleyin ve değerini varsayılan değer 0x00000400.

Örneğin, Office 2016'da CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} olan bir nesne için Office COM kill biti ayarlamak için şu adımları izleyin: 

1. Aşağıdaki kayıt defteri alt anahtarını bulun:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. {77061A9C-2F18-4f38-B294-F6BCC8443D24} değerine sahip bir alt anahtar ekleyin. Bu durumda, sonuçta elde edilen yol aşağıdaki gibidir:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Uyumluluk Bayrakları REG_DWORD adlı bu alt anahtara bir metin ekleyin ve bu alt anahtarın değerini0x00000400.

Office COM kill biti artık bu nesnenin Office'in içinde etkinleştirilmesi için ayarlanmış. 

Bağlama ve ekleme senaryolarında yalnızca COM'i engelleme 

Belirtildiği gibi COM kill biti işlevselliği, Office'in içinde belirtilen COM nesnelerinin tüm etkinleştirmelerini engellemek üzere güncelleştirildi.  

Yalnızca Office belgelerinin içinde eklenmiş veya bağlı olan COM nesnelerini engellemek için aşağıdaki adımları izleyin:  

1. CLSID'yi COM kill biti için ,"Office Kill Bitiayarlandı" (listede yoksa) altındaki yönergelere ekleyin

2. Engellenen CLSID'nin alt anahtarının altında, ActivationFilterOverrideadlı bir REG_DWORD değeri ekleyin ve değerini 0x00000001.

Örneğin, CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} içeren bir nesnenin yalnızca bağlama ve ekleme senaryolarını engellemek üzere COM kill biti yapılandırmak için şu adımları izleyin:

1. Şu kayıt defteri alt anahtarını bulun:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. {77061A9C-2F18-4f38-B294-F6BCC8443D24} değerinin olduğu bir alt anahtar ekleyin. Bu durumda, sonuçta elde edilen yol aşağıdaki gibidir:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Uyumluluk Bayrakları REG_DWORD adlı bu alt anahtara bir değer ekleyinve değerini varsayılan değer 0x00000400. 

4. ActivationFilterOverrideREG_DWORD adlı bu alt anahtara bir metin ekleyin ve değerini değer 0x00000001. 

Office COM kill biti, yalnızca Office belgelerine bağlı veya eklenmişse bu COM nesnesini engellemek için ayarlanmıştır.