CVE-2026-55558 in aiosmtplib
要約
〜によって VulDB • 2026年08月20日
aiosmtplibはasyncioで使用するための非同期SMTPクライアントです。バージョン5.1.2より前では、src/aiosmtplib/protocol.py内のSMTPProtocol.start_tlsがサーバーの220応答を消費し、SMTPProtocol._bufferをクリアせずにTLSハンドシェイクを開始します。アクティブなネットワーク攻撃者は、同一セグメント内で平文の220応答の後に攻撃者が選択したSMTP応答行を挿入できます。その後メソッドはloop.start_tlsを呼び出し、そのバイト列はトランスポートアップグレード後も保持され、TLSセッション内部からの最初の応答として解析されるため、以降のSMTPコマンドと応答のペアが非同期化されます。start_tls=Trueを使用する接続やオプティミスティックSTARTTLSを使用する接続に影響がありますが、use_tls=Trueを使用する接続は影響を受けません。この問題はバージョン5.1.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.