質問: winscpやfilezillaなどのwindowstls / sslファイル転送ソフトウェアのどのバージョンがheartbleedの影響を受けませんか? winscpやfilezillaのような広範囲に及ぶtls/ssl対応のwindowsクライアントの悲惨な脆弱性の影響を受けたバージョンをまだ多くの人が使用していることに気づきました。安全な推奨事項を作成できるように、安全なバージョンのリストが必要です。おそらく、1.0.1より前のopensslを使用する古いバージョン( http://heartbleed.com/ を参照)があり、安全に使用できるようです(他に使用しない理由がない場合)。たとえば、winscp 5.5.3(まだリリースされていません)は、tls/sslコアをopenssl1.0.1gにアップグレードしても安全です。winscp 4.3.7は1.0.1より前のopensslを使用しているため、まだ影響を受けていないようです。誰かがこれを確認できますか?それ以降のバージョンで動作しますか?filezillaはどうですか?
回答: winscpは、それぞれのブランチのバージョン4.3.8および5.0.7ベータ以降、影響を受けるopenssl1.0.1を使用していました。winscp 5.5.3は、脆弱性に対処するためにopenssl1.0.1gにアップグレードされました。 branch 4.xはサポートされなくなり、アップグレードされる予定はありません。opensslは、ftp over tls/sslを使用するwinscpでのみ使用されることに注意してください。 winscpユーザーの大多数(約98%)はssh(sftp/scp)とプレーンftpのみを使用しており、not影響を受けました!脆弱性はここで追跡されます: https://winscp.net/tracker/1151 filezillaはバージョン3.0以降openssl 0.9.8dをgnutlsに置き換えたため、filezillaの脆弱なバージョンはありません。幸い、クライアントの脆弱性が悪用される可能性は、サーバーよりも低くなります。クライアントとして、あなたはあなたが接続する場所を担当しています。つまりサーバーに接続しないでください、あなたは信頼していません。