哪些版本的 Windows TLS/SSL 文件传输软件（如 WinSCP 和 FileZilla）不受 Heartbleed 影响？

Question

我注意到许多人仍在使用受广泛传播的支持 TLS/SSL 的 Windows 客户端（如 WinSCP 和 Filezilla）的 Heartbleed 漏洞影响的版本。

为了能够提出安全的建议，我想要一个包含安全版本的列表。

可能有一些在 1.0.1 之前使用 OpenSSL 的旧版本（请参阅http://heartbleed.com/）似乎可以安全使用（如果没有其他原因不使用它们）。

例如，WinSCP 5.5.3（尚未发布）在 TLS/SSL 核心升级到 OpenSSL 1.0.1g 后将是安全的。

WinSCP 4.3.7 似乎尚未受到影响，因为它在 1.0.1 之前具有 OpenSSL，有人可以确认这一点，是否有更高版本的工作？

Filezilla 呢？

Answer 1

WinSCP自 4.3.8 和 5.0.7 beta 版以来在各自的分支中使用了受影响的 OpenSSL 1.0.1。

WinSCP 5.5.3 升级到 OpenSSL 1.0.1g 以解决该漏洞。Branch 4.x 不再受支持，也不打算升级。

请注意，WinSCP 仅通过 TLS/SSL 上的 FTP 使用 OpenSSL。大多数（约 98%）的 WinSCP 用户仅使用 SSH (SFTP/SCP) 和普通 FTP，不受影响！

该漏洞在此处跟踪：https :
//winscp.net/tracker/1151

FileZilla从 3.0 版开始用 GnuTLS 替换了 OpenSSL 0.9.8d，因此 FileZilla 没有易受攻击的版本。

幸运的是，在客户端中利用该漏洞的可能性比在服务器中小。作为客户，您负责连接到哪里。即不连接到服务器，你不信任。