CVE-2026-55558
Açıklama
aiosmtplib, asyncio ile kullanım için eşzamansız bir SMTP istemcisidir. 5.1.2 sürümünden önce, src/aiosmtplib/protocol.py içindeki SMTPProtocol.start_tls, sunucunun 220 yanıtını tüketir ve SMTPProtocol._buffer'ı temizlemeden TLS el sıkışmasını başlatır. Aktif bir ağ saldırganı, aynı ağ segmentinde düz metin 220 yanıtından sonra saldırgan tarafından seçilen SMTP yanıt satırlarını yerleştirebilir. Yöntem daha sonra loop.start_tls'yi çağırır; bu baytlar taşıma yükseltmesinden sağ çıkar ve TLS oturumu içinden ilk yanıt olarak ayrıştırılır, sonraki SMTP komut ve yanıt çiftlerinin eşitlemesini bozar. start_tls=True veya fırsatçı STARTTLS kullanan bağlantılar etkilenirken, use_tls=True kullanan bağlantılar etkilenmez. Bu sorun 5.1.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- aiosmtplib5.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| aiosmtplibPyPI | v < 5.1.2 | 5.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.