このウェブページのスキャリーンショットから、脆弱性に関する以下の重要な情報を取得できます。 1. 脆弱性の説明： - Rust標準ライブラリは、Windows上で および APIを使用する際、バッチファイル（ および 拡張子を持つ）の引数を適切にエスケープしていません。 - 攻撃者は子プロセスに渡される引数を操作できるため、エスケープを回避して任意のシェルスクリプトコマンドを実行することが可能です。 2. 脆弱性の深刻度： - Windows上で信頼できない引数を使用してバッチファイルが呼び出される場合、この脆弱性の深刻度は「critical（重大）」です。 - 他のプラットフォームや用途には影響はありません。 3. 脆弱性の識別： - 脆弱性はCVE-2024-24576によって識別されます。 4. 概要： - および APIのドキュメントでは、引数の内容に関係なく、それらが子プロセスに渡されたままになり、シェルによって評価されないことが示されています。 - Windowsでは、Windows APIがすべての引数を含む単一の文字列しか提供しないため、子プロセス自身が引数を解析する必要があります。 5. 緩和策： - の複雑さにより、すべての引数を安全にエスケープする方法は見つかりませんでした。 - エスケープ処理のコードの堅牢性が向上し、引数を安全にエスケープできない場合は エラーを返すようになりました。 - 修正はRust 1.77.2に含まれ、本日中にリリースされる予定です。 6. 影響を受けるバージョン： - 1.77.2以前でWindows上で動作するRustのすべてのバージョンは、コードまたは依存関係が信頼できない引数付きのバッチファイルを実行する場合、影響を受けます。 - 他のプラットフォームや、Windows上での他の用途には影響はありません。 7. 謝辞： - 脆弱性の報告およびRustプロジェクトメンバー（Chris Denton、Mara Bos、Pietro Albini、Manish Goregaokar、Josh Stone、Amanieu d'Antrasを含む）の貢献に対し、RyotaKおよびSimon Sawicki（Grub4K）に感謝します。 これらの情報は、脆弱性の詳細な説明、影響範囲、および緩和策を提供しています。