CVE-2024-24576: Command неправильно экранировал аргументы для .bat/.cmd (критично)

Стандартная библиотека Rust неправильно экранировала аргументы при вызове пакетных файлов (.bat и .cmd) на Windows через std::process::Command. Атакующий, контролирующий аргументы запускаемого процесса, мог выполнить произвольные команды оболочки, обойдя экранирование. Уязвимость критична, если на Windows вызываются пакетные файлы с недоверенными аргументами; другие платформы не затронуты.

Исправлено в Rust 1.77.2 (и соответствующих точечных выпусках).

Оригинал

Security advisory for the standard library (CVE-2024-24576).