Schutz vor Zonenanhebung

Zweck

Registry-Schlüssel anzeigen (14)

• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\groove.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\excel.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\mspub.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\powerpnt.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\pptview.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\visio.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\winproj.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\winword.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\outlook.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\spdesign.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\exprwd.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\msaccess.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\onenote.exe
• HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION\mse7.exe

Diese maschinenbezogene Office-Richtlinie steuert die Internet-Explorer-Sicherheitsfunktion FEATURE_ZONE_ELEVATION getrennt für die aufgeführten ausführbaren Dateien. Ein REG_DWORD-Wert von 1 bezieht den jeweils gleichnamigen Prozess in den Schutz vor Zonenanhebung ein.

Die Funktion betrifft Webinhalte, die ein solcher Prozess über die Internet-Explorer-Plattform beziehungsweise das WebBrowser-Steuerelement verarbeitet. Sie verhindert nicht vom Benutzer ausgelöste Navigationen, durch die Inhalte aus einer weniger privilegierten Sicherheitszone in einen Kontext mit geringeren Beschränkungen wechseln könnten. Welche Navigation zulässig ist, hängt zusätzlich von der für die beteiligten Internet-Explorer-Sicherheitszonen festgelegten URL-Aktion URLACTION_FEATURE_ZONE_ELEVATION ab.

Die Werte gelten jeweils nur für den Prozess, dessen Dateiname dem Wertnamen entspricht. Sie beschränken weder allgemein die Ausführung der Office-Anwendung noch sämtliche von ihr geöffneten Links oder Dokumente.

Hinweise

Weitere Wirkungen

Der Schutz unterbindet außerdem JavaScript-Navigationen, denen kein Sicherheitskontext zugeordnet werden kann.

Sicherheit

Internet-Explorer-Sicherheitszonen wenden abhängig von der Herkunft eines Webinhalts unterschiedlich strenge Einschränkungen an. Insbesondere die Zone des lokalen Computers unterliegt traditionell weniger Einschränkungen als Internet- oder eingeschränkte Zonen. Ohne den Schutz vor Zonenanhebung könnte speziell präparierter Webinhalt versuchen, durch eine automatische zonenübergreifende Navigation in einen weniger eingeschränkten Kontext zu gelangen.

Die Einstellung verringert dieses Risiko in den ausgewählten Office-Prozessen. Sie erteilt oder entzieht jedoch keine Windows-Benutzerrechte, ändert keine Dateisystemberechtigungen und stellt keine allgemeine Anwendungs- oder Prozessisolation bereit.

Mögliche Nebenwirkungen

Legitime eingebettete Webinhalte oder ältere Office-Erweiterungen können beeinträchtigt werden, wenn sie automatische Navigationen zwischen Sicherheitszonen voraussetzen. Auch JavaScript-Navigationen ohne ermittelbaren Sicherheitskontext können ausbleiben. Andere Navigationen und Office-Funktionen sind davon nicht zwangsläufig betroffen.

Hinweise

Dies sind anwendungsbezogene Feature-Control-Werte unter HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl. Sie sind von der ähnlich bezeichneten Windows-Richtlinie für Internet-Explorer-Prozesse zu unterscheiden, deren ADMX-Zuordnung den Richtlinienpfad Software\Policies\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_ZONE_ELEVATION verwendet.

Die Funktion ist nur relevant, soweit die betreffende Anwendung Komponenten der Internet-Explorer-Plattform beziehungsweise das WebBrowser-Steuerelement verwendet. Sie beschreibt keinen allgemeinen Schutzmechanismus für beliebige Browser-Engines.

Microsoft-Dokumentation

Microsoft Learn: InternetExplorer-Richtlinien-CSP – Schutz vor Zonenanhebung

Microsoft Learn: Leitfaden zum Sichern von Anwendungen, die das WebBrowser-Steuerelement hosten

Siehe auch

• Eintrag in der Referenz