Podatności aiosmtplib

aiosmtplib przed wersją 5.1.3 nieprawidłowo waliduje adresy e-mail przekazywane przez wywołujących, umożliwiając atakującym wstrzyknięcie parametrów ESMTP do wierszy poleceń MAIL FROM i RCPT TO. Atakujący może spreparować adresy zawierające spacje i nawiasy kątowe, aby dołączyć parametry takie jak AUTH, NOTIFY lub ORCPT do poleceń koperty, fałszując uwierzytelnione tożsamości lub wymuszając powiadomienia o dostarczeniu do osób trzecich.

W bibliotece aiosmtplib przed wersją 5.1.2 wykryto podatność w metodzie SMTPProtocol.start_tls. Atakujący aktywny w sieci może umieścić własne linie odpowiedzi SMTP po odpowiedzi 220, które po rozpoczęciu TLS są interpretowane jako pierwsza odpowiedź w sesji TLS, co prowadzi do desynchronizacji komunikacji SMTP. Podatne są połączenia z start_tls=True lub oportunistycznym STARTTLS.

aiosmtplib przed wersją 5.1.1 nie odrzuca adresów zawierających znaki CR lub LF w metodach SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() i SMTP.expn(). Dane po znaku nowej linii są interpretowane jako dodatkowe komendy SMTP, co pozwala atakującemu na wstrzyknięcie komend takich jak MAIL FROM, RCPT TO, RSET, DATA lub AUTH. SMTP.sendmail() i SMTP.send() bez obiektu Message przekazują adresy przez podatne metody, podczas gdy SMTP.send_message() nie jest podatne. Udane wstrzyknięcie może zdesynchronizować potok komend, zawiesić instancję SMTP lub wysłać dowolną wiadomość bez kontroli nad serwerem SMTP.