Параметри безпеки для об'єктів COM у програмі Office

"Office COM Kill bit" 

В оновленні MS10-036 для певних об'єктів COM, які не виконуються під час вбудовування або зв'язування з документів Office, запроваджено пакет "Kill COM".  

Функціональні можливості COM Kill оновлено в KB3178703 , щоб повністю заблокувати com-об'єкти, які можна активувати в процесі роботи в Office. Це оновлення – це надмножина оригінальної поведінки, крім блокування об'єктів COM, вбудованих або зв'язаних у документах Office, це блокує будь-які екземпляри COM-об'єктів, які завантажуються в процесі Office за допомогою інших засобів, наприклад надбудов. 

Ці об'єкти COM містять елементи керування ActiveX і об'єкти OLE. За допомогою реєстру можна самостійно керувати тим, які об'єкти COM блокуються під час використання Office. 

НотаткиМи не радимо видалити біт анулювання, встановлений для об'єкта COM. Якщо ви це зробите, ви можете створити вразливість системи безпеки. Цей біт зазвичай настроєно на причину причини, яка може бути критичною. Тому, якщо ви не вбиваєте елемент керування ActiveX, потрібно бути дуже обережним.  
 
Ви можете додати параметр Alicnateclsid (також відомий як "" Phoenix bit "), якщо потрібно пов'язати ідентифікатор класу для нового елемента керування ActiveX (і цей елемент керування ActiveX було змінено для зменшення загрози системи безпеки), до CLSID елемента керування ActiveX, до якого застосовано біт Office COM. Служба Office підтримує засіб Alicnateclsid, лише якщо використовуються об'єкти COM для керування ActiveX.  
 
Примітка. Список "вбити біт" для Office має перевагу над списком "вбити біт" для браузера Internet Explorer. Наприклад, для одного елемента керування ActiveX може бути встановлено біт Office COM, а також програма Internet Explorer для елемента керування ActiveX. Але функція Alnenateclsid встановлюється лише в списку для браузера Internet Explorer. У цьому сценарії виникає конфлікт між двома параметрами. У таких випадках настройки параметрів Office COM для біта мають пріоритет, а елемент керування не завантажується. 

Установлення розрядної версії Office COM

Розташування для налаштування біта Office COM в реєстрі має такий вигляд:  

Для Office 2013 і Office 2010:

• Для 64-розрядної версії Office у 64-розрядній ОС Windows (або 32-розрядній системі Office у 32-розрядній версії Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Для 32-розрядної версії Office на 64-розрядних вікнах:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\ {CLSID}

Для Office 2016:

• Для 64-розрядної версії Office у 64-розрядній ОС Windows (або 32-розрядній версії Office у 32-розрядних вікнах):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

• Для 32-розрядної версії Office на 64-розрядних вікнах:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ {CLSID}

У цьому випадку CLSID – це ідентифікатор класу для об'єкта COM.  

Щоб увімкнути біт Office, виконайте наведені нижче дії.

1. Додайте підрозділ реєстру разом із CLSID для елемента керування ActiveX або об'єкта OLE, який потрібно заблокувати для завантаження.

2. Додавання REG_DWORD до цього підрозділу під назвою " позначки сумісності " та встановлення його значення на 0x00000400.

Наприклад, щоб установити для об'єкта пакет Office, який має CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} в Office 2016, виконайте наведені нижче дії. 

1. Знайдіть наведений нижче підрозділ реєстру:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Додайте підрозділ зі значенням {77061A9C-2F18-4f38-B294-F6BCC8443D24}. У цьому випадку отриманий шлях має такий вигляд:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Додайте REG_DWORD до цього підрозділу, на якому призначено позначки сумісності, і встановіть його значення на 0x00000400.

У програмі Office COM bit тепер настроєно блокування цього об'єкта. 

Лише блокувати COM-сценарії для зв'язування та вбудовування 

Як уже згадувалося, функціональні можливості COM Kill оновлено, щоб блокувати всі активації вказаних об'єктів COM у програмі Office.  

Щоб заблокувати об'єкти COM, вбудовані або зв'язані з ними в документах Office, виконайте наведені нижче дії.  

1. Додайте CLSID до біта Kill, що відповідно до інструкцій у розділі "установлення біта Office Kill" (якщо його немає в списку)

2. У розділі, що відповідно до розділу для ідентифікатора CLSID, додайте REG_DWORD значення, яке називається ActivationFilterOverride, і встановіть його значення на 0x00000001.

Наприклад, щоб настроїти біт "для біта", щоб блокувати лише сценарії зв'язування та вбудовування для об'єкта, який має CLSID {77061A9c-2f18-48-b294-f6bcc8443d24} в Office 2016, виконайте наведені нижче дії.

1. Знайдіть наведений нижче підрозділ реєстру:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Додайте підрозділ, який має значення {77061A9c-2f18-48-b294-f6bcc84943d24}. У цьому випадку отриманий шлях має такий вигляд:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Додайте REG_DWORD значення до цього підрозділу, на якому призначено позначки сумісності, і встановіть його значення на 0x00000400. 

4. Додайте REG_DWORD до цього підрозділу, який називається ActivationFilterOverride, і встановіть його значення на 0x00000001. 

У програмі Office COM bit тепер настроєно блокування цього об'єкта, лише якщо його зв'язано або вбудовано в документах Office.