Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - aiosmtplib は、asyncio で使用するための非同期 SMTP クライアントです。5.1.2の前に、src/aiosmtplib/protocol.py の SMTPProtocol.start_tls はサーバーの 220 応答を消費し、SMTPProtocol._bufferを消去せずに TLS ハンドシェイクを開始します。アクティブなネットワーク攻撃者は、同じネットワークセグメント内にある平文 220 応答の後に、攻撃者が選択した SMTP 応答回線を配置できます。次に、メソッドは loop.start_tls を呼び出します。これらのバイトは、トランスポートのアップグレード後も生き残り、TLS セッション内からの最初の応答として解析され、後続の SMTP コマンドと応答のペアを非同期化します。start_tls=True または日和見 STARTTLS を使用する接続は影響を受けますが、use_tls=True を使用する接続は影響を受けません。この問題はバージョン 5.1.2 で修正されています。(CVE-2026-55558)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-55558

medium Nessus プラグイン ID 338711

バージョン 1.1