CVE-2026-55558 in aiosmtplib
Riassunto
di VulDB • 21/08/2026
aiosmtplib è un client SMTP asincrono per l'uso con asyncio. Prima della versione 5.1.2, la funzione `SMTPProtocol.start_tls` nel file `src/aiosmtplib/protocol.py` consuma la risposta del server 220 e avvia il handshake TLS senza svuotare correttamente `SMTPProtocol._buffer`. Un attaccante di rete attivo può inserire righe di risposta SMTP scelte dall'attaccante dopo la risposta in chiaro 220 nello stesso segmento di rete. Il metodo chiama quindi `loop.start_tls`; quei byte sopravvivono all'aggiornamento del trasporto e vengono analizzati come la prima risposta proveniente dalla sessione TLS, causando una desincronizzazione delle coppie successive di comandi e risposte SMTP. Sono interessati i connessioni che utilizzano `start_tls=True` o STARTTLS opportunistico, mentre le connessioni che usano `use_tls=True` non sono interessate. Questo problema è risolto nella versione 5.1.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.