Zusätzliche Sicherheitsüberprüfungen von VBA-Bibliotheksverweisen deaktivieren, die möglicherweise auf unsichere Speicherorte auf dem lokalen Computer verweisen
Dieser benutzerbezogene Registry-Wert steuert zusätzliche Pfadprüfungen für Bibliotheksverweise in VBA-Projekten.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKCU\software\policies\microsoft\vba\security\disablestrictvbarefssecurity
Dieser benutzerbezogene Registry-Wert steuert zusätzliche Pfadprüfungen für Bibliotheksverweise in VBA-Projekten. Dabei können unter anderem Verweise auf Typbibliotheken (*.olb, *.tlb, *.dll), ausführbare Dateien (*.exe) und ActiveX-Steuerelemente (*.ocx) betroffen sein.
Der Wert ist vom Typ REG_DWORD. Bei 1 unterlässt VBA die zusätzlichen Prüfungen, mit denen Bibliothekspfade auf möglicherweise unsichere Speicherorte auf dem lokalen Computer kontrolliert werden. VBA prüft Projektverweise dann nur anhand der Registrierung und der Vertrauenszonen. Bei 0 oder nicht vorhandenem Wert bleiben die zusätzlichen Sicherheitsprüfungen aktiv.
Die Einstellung aktiviert keine Makros und hebt andere VBA- oder Office-Sicherheitsrichtlinien nicht auf.
Hinweise
Sicherheit
Der Wert 1 schwächt den Schutz gegen das Laden manipulierter oder anderweitig unsicherer Bibliotheken. Ein speziell präpariertes Office-Dokument kann einen VBA-Verweis enthalten, der auf eine Bibliothek an einem vom Benutzer oder Angreifer beeinflussbaren lokalen Pfad zeigt. Wird eine schädliche Bibliothek geladen, kann dadurch Code mit den Berechtigungen des angemeldeten Benutzers ausgeführt werden.
Die zusätzlichen Prüfungen gehören zu einer von Microsoft im Zusammenhang mit CVE-2020-0760 eingeführten Verhaltensänderung. Diese adressiert eine Sicherheitslücke beim fehlerhaften Laden beliebiger Typbibliotheken durch Microsoft Office.
Mögliche Nebenwirkungen
Bleiben die zusätzlichen Prüfungen aktiv, können ältere VBA-Lösungen fehlschlagen, wenn sie Bibliotheken über inzwischen als unsicher bewertete Pfade referenzieren. Office kann den Verweis dann wie eine fehlende Bibliothek behandeln und beispielsweise den Kompilierungsfehler „Projekt oder Bibliothek nicht gefunden“ anzeigen.
Der Wert 1 kann die Kompatibilität solcher Lösungen wiederherstellen, nimmt ihnen gegenüber jedoch die betreffende Pfadprüfung.
Hinweise
Die Einstellung gilt für den jeweiligen Benutzer. Ihre Wirkung setzt eine Office-Version mit den im April 2020 eingeführten Sicherheitsänderungen für VBA-Bibliotheksverweise voraus. Microsoft nennt hierfür Microsoft 365 Apps sowie Office 2016, Office 2013 und Office 2010 mit den entsprechenden Sicherheitsupdates.