マイクロソフトは、7月のパッチ火曜日の一部として、Internet Explorerの29の脆弱性を修正し、Windowsのバージョンをサポートしました。 このラウンドで修正された脆弱性の大部分はInternet Explorerにありました。
MicrosoftのPatch Tuesdayアドバイザリによると、リリースされた6つのセキュリティ情報のうち、Internet ExplorerとWindows Journalの2つのみがクリティカルと評価されています。 3つは重要と評価されており、最終的なセキュリティ情報の評価は中程度です。 IEとWindows Journalの両方のセキュリティ情報は、リモートコード実行の欠陥に対処しています。 重要なセキュリティ情報は、スクリーンキーボード、補助機能ドライバー、およびDirectShowの特権の昇格の欠陥を修正し、中程度のセキュリティ情報は、Microsoftサービスバスのサービス拒否のバグを修正しました。
マイクロソフトは、これらの欠陥のいずれかを狙った攻撃は観察されていないと述べました。
IE Oh My
MicrosoftはInternet Explorer（MS14-037）の24の欠陥を修正しました。1つは公開されたバグ、23は非公開で報告されたバグです。 これは、Microsoftが先月Internet Explorerの59個の脆弱性にパッチを適用した後です。 この問題は、WindowsマシンではInternet Explorer 6からInternet Explorer 11にとって重要ですが、Windowsサーバーでは中程度です。
攻撃者は、ユーザーをだまして特別に細工された悪意のあるサイトを訪問させることにより、IEのバグを悪用できます。 攻撃が成功すると、攻撃者は侵害されたユーザーと同じユーザー権限を取得します。 権限の少ないユーザー（たとえば、管理者としてログインしていないユーザー）は、それほど影響を受けません。
BeyondTrustのCTOであるMarc Maiffret氏は、次のように述べています。
あいまいなWindowsソフトウェア
Windows Journal（MS14-038）の問題により、攻撃者が悪意のあるコードをリモートで実行する可能性があります。 Windows Journalは、Vistaから8.1までのWindowsのすべてのサポートされているバージョンにデフォルトでインストールされますが、一般的には使用されません。 Windows Journalは、タッチ対応デバイスおよび非タッチWindowsコンピューターで使用して、手書きのメモをキャプチャできます。 この脆弱性は、WindowsがWindows Journal（.jnt）形式で保存されたファイルを開く方法にありました。
Windows Journalのバグは、「未使用のソフトウェアが攻撃者によって悪用される可能性のあるすばらしい例です」と、Tripwireのセキュリティ研究者であるCraig Young氏は述べています。
Windows Journalは、Windows Serverバージョンにはインストールされません。
Maiffretは、ファイル拡張子を実行可能ファイルとして扱い、Webおよび電子メールゲートウェイでブロックすることを推奨しています。
2つの重要なパッチをすぐにインストールできない理由がある場合は、Windows Journalをアンインストールして別のWebブラウザーに切り替えるだけで十分な回避策になります。 「パッチが常に好まれますが、攻撃対象領域を制限することは良いバックアップです」と、TripwireのセキュリティリサーチマネージャーであるTyler Ranguly氏は述べています。
残りのパッチ
このセキュリティ情報では、3月に行われたpwn2ownコンテストで発見された重要な修正済みバグを評価しました。 特権のローカル昇格の問題を悪用して、非特権ユーザーに脆弱なシステムへのアクセスを強化できます。 Rapid7のセキュリティエンジニアリングのシニアマネージャーであるRoss Barrett氏は、連鎖攻撃でシステムを侵害するために使用できると示唆しています。 「開示の性質を考えると、悪用コードを持っていることが知られているに違いない」とバレットは警告した。
補助関数ドライバーのバグは、「今月のInternet Explorerの脆弱性のようなものと組み合わせて、カーネルでコードが実行されるドライブバイWeb攻撃を可能にする」とMaiffret氏は語った。
