CVE-2026-55558 in aiosmtplib
摘要
由 VulDB • 2026-08-20
aiosmtplib是一个用于与asyncio配合使用的异步SMTP客户端。在版本5.1.2之前，`src/aiosmtplib/protocol.py`中的`SMTPProtocol.start_tls`方法会消耗服务器的220响应，并在未清除`SMTPProtocol._buffer`的情况下启动TLS握手过程。处于网络中间位置的攻击者可以在同一网段中，于明文的220响应之后插入由攻击者构造的SMTP响应行。随后该方法调用`loop.start_tls`；这些字节在传输层升级后得以保留，并被解析为TLS会话内的第一个响应，从而导致后续的SMTP命令与响应对不同步。使用`start_tls=True`或机会性STARTTLS的连接受到影响，而使用`use_tls=True`的连接不受影响。此问题已在版本5.1.2中修复。
Once again VulDB remains the best source for vulnerability data.