p PatchFirst

CVE-2026-55558

CVE-2026-55558 · aiosmtplib: STARTTLS response injection

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

aiosmtplib is an asynchronous SMTP client for use with asyncio. Prior to 5.1.2, SMTPProtocol.start_tls in src/aiosmtplib/protocol.py consumes the server's 220 response and starts the TLS handshake without clearing SMTPProtocol._buffer. An active network attacker can place attacker-chosen SMTP response lines after the plaintext 220 response in the same network segment. The method then calls loop.start_tls; those bytes survive the transport upgrade and are parsed as the first response from inside the TLS session, desynchronizing subsequent SMTP command and response pairs. Connections using start_tls=True or opportunistic STARTTLS are affected, while connections using use_tls=True are not. This issue is fixed in version 5.1.2.

CVSS 5.9 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • aiosmtplib

    Versions du logiciel
    • < 5.1.2: Concernée

    Aucun correctif publié

  • aiosmtplib Debian:12

    Versions du logiciel
    • 2.0.0-1
    • 3.0.1-1
    • 3.0.2-1
    • 3.0.2-2
    • 4.0.0-1
    • 4.0.1-1
    • 4.0.1-1~exp1
    • 4.0.2-1
    • 5.0.0-1
    • 5.1.0-1
    • 5.1.0-2
    • 5.1.0-3
    • 5.1.2-1
    • 5.1.3-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • aiosmtplib Debian:13

    Versions du logiciel
    • 4.0.0-1
    • 4.0.1-1
    • 4.0.1-1~exp1
    • 4.0.2-1
    • 5.0.0-1
    • 5.1.0-1
    • 5.1.0-2
    • 5.1.0-3
    • 5.1.2-1
    • 5.1.3-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • aiosmtplib Debian:14

    Versions du logiciel
    • 4.0.0-1
    • 4.0.1-1
    • 4.0.1-1~exp1
    • 4.0.2-1
    • 5.0.0-1
    • 5.1.0-1
    • 5.1.0-2
    • 5.1.0-3
    Plages de versions concernées
    • ECOSYSTEM: < 5.1.2-1

    Mettez à jour vers 5.1.2-1

  • aiosmtplib PyPI

    Versions du logiciel
    • 0.1
    • 0.1.2
    • 0.1.3
    • 0.1.4
    • 0.1.5rc2
    • 0.1.6
    • 0.1.7
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.1.5
    • 1.1.6
    • 1.1.7
    • 1.1b0
    • 2.0.0
    • 2.0.0b0
    • 2.0.0b1
    • 2.0.1
    • 2.0.2
    • 3.0.0
    • 3.0.1
    • 3.0.2
    • 4.0.0
    • 4.0.1
    • 4.0.2
    • 5.0.0
    • 5.1.0
    • 5.1.1
    Plages de versions concernées
    • ECOSYSTEM: < 5.1.2

    Mettez à jour vers 5.1.2

  • aiosmtplib Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.1.4-1
    • 1.1.4-2
    • 1.1.6-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • aiosmtplib Ubuntu:26.10

    Versions du logiciel
    • 5.1.0-1
    • 5.1.0-3
    • 5.1.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • aiosmtplib Ubuntu:26.04:LTS

    Versions du logiciel
    • 4.0.0-1
    • 4.0.2-1
    • 5.0.0-1
    • 5.1.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →