Software-update: FileZilla 3.55.1

Versie 3.55.1 van de opensource-ftp-client FileZilla is verschenen. Het programma is populair vanwege de geringe belasting van de systeembronnen. FileZilla is beschikbaar voor Windows, Linux en macOS. Sinds versie 3.26.0 worden wachtwoorden ook versleuteld en beveiligd op de computer opgeslagen. Tegenwoordig is er ook een Pro-versie, die tegen een kleine vergoeding ondersteuning biedt voor diverse online opslagdiensten.

Wees voorzichtig met het 'aanbevolen' downloadbestand, want dat wordt gebundeld met software van derden. Op deze pagina zijn installatiebestanden te vinden die geen extra componenten bevatten. Een verkeerde installatie is overigens eenvoudig te herkennen aan het woord sponsored in de bestandsnaam. In deze uitgave zijn de volgende verbeteringen doorgevoerd::

Bugfixes and minor changes:

• Fixed a crash if a tree view items are deleted at the same time as something is being dragged over the tree view
• Updated to libfilezilla 0.31.1 to fix an issue with SIGPIPE on *nix

Versienummer	3.55.1
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019
Website	FileZilla
Download	https://filezilla-project.org/download.php?show_all=1
Licentietype	GPL

Reacties (15)

Malware included (bewust in een vorige versie gestopt door de devs, tja doe er zelf mee wat je wil):
https://security.it.miami...lezilla-issues/index.html
https://www.reddit.com/r/...8t4xrl/filezilla_malware/
https://www.virustotal.co...764caaacb582934/detection

[Reactie gewijzigd door tyball op 9 augustus 2021 20:35]

Heb net deze versie even door de mangel gehaald, niets gevonden.

Je kunt het zelf testen op Jotti


FileZilla_3.55.1_win64-setup.exe
Naam: FileZilla_3.55.1_win64-setup.exe
Grootte: 10,89MB (11.421.048 bytes)
Type: PE32 executable (GUI) Intel 80386, for MS Windows, Nullsoft Installer self-extracting archive
Het eerst gezien: 10 augustus 2021 om 09:28:09 CEST
MD5: afe37d1095aeb25e95263a9da70734e9
SHA1: c4db66c03f174d0948842a68a0ac40d4aeabad95
Status: Scan voltooid. 0/15 scanners vonden malware.
Scan genomen op: 10 augustus 2021 om 09:28:11 CEST

[Reactie gewijzigd door Gepetto op 10 augustus 2021 09:34]

Het is alleen niet waar. De "bundled software" werd indertijd toegevoegd door Sourceforge, de site waar het spul te downloaden was, en ook alleen onder de vorige eigenaar van die site. Het werd niet door de devs van Filezilla gedaan.

https://en.wikipedia.org/...lla#Bundled_adware_issues

[Reactie gewijzigd door downtime op 10 augustus 2021 02:06]

je haalt 3 jaar oude berichten aan?
geen reden om aan te nemen dat er nu in deze versie ook malware zit..

Je VirusTotal-link gaat over versienummer 3.44.2.
Dit nieuwsbericht gaat over versienummer 3.55.1

//edit: tyball heeft zn bericht nu aangepast..

[Reactie gewijzigd door Ynst2003 op 9 augustus 2021 20:59]

geen idee of dat het geval was. Maar geef dat dan aan. Dat je de developers niet meer gelooft/vertrouwt omdat ze in het verleden malware in hun software hebben gestopt. Dat is prima natuurlijk, maar een berichtje typen dat suggereert dat in deze versie malware zit, is natuurlijk niet handig..

//edit: tyball heeft zn bericht nu aangepast..

[Reactie gewijzigd door Ynst2003 op 9 augustus 2021 20:59]

Als je de werkelijkheid gevolgd had, in plaats van je nieuws uit 3e partijen zonder even te fact-checken had je gezien dat dit niet door de devs van Filezilla gedaan is, maar door de personen van SourceForge die de download aanboden. Zie ook downtime in 'downloads: FileZilla 3.55.1'

Het zou dus netjes zijn als je je post even aanpast. Wat je nu doet is de naam aanvallen van ontwikkelaars die niet gedaan hebben waar je ze, zonder dat je relevant bewijs aanlevert, van beschuldigt.

Je slaat echt de plank mis hier, de devs hebben niks in hun product toegevoegd. De installer die SourceForge heeft geleverd bevatte (verleden tijd!) die malware. Voordat je hoog van de toren gaat blazen met wie zich 'moet schamen en dit had moeten weten' kan je beter zelf eerst nagaan of je niet aan het napapegaaien bent wat al helemaal niet meer van toepassing is. Of jij je dan moet gaan schamen laat ik aan jezelf over om te beslissen.

Alhowel de software op zich niet zo slecht is als @tyball hier beweert, zou ik eerder de vraag willen stellen waarom dit nog in de meuktracker zit. WebDAV is al jaren een onderdeel van het HTTP (en dus ook HTTPS) protocol en is een flinke verbetering over FTP in alles.

De FTP, FTPS en SFTP protocollen hebben allang afgedaan en zou al jaren geleden een stille dood moeten sterven. Kan niet wachten totdat FTP werkelijk niets meer is dan een herinnering en een paar paginas op Wikipedia.

Browsers hebben de ondersteuning ervan al gestopt, de rest van het internet zou zo snel mogelijk dat voorbeeld moeten volgen.

SFTP is geschikt om bestanden via shell access over te brengen, dat is wel een aparte wereld naast WebDAV. Ik ga niet op elke server in m'n platform een aparte WebDav server optuigen inclusief connectivity alleen maar om een stel config bestanden over te zetten wat via SFTP over de standaard SSH service kan.

Bestanden via Shell overbrengen is via SFTP wel makkelijk, dat geeft ik toe. Maar als je ergens een NingX/Apache/Tomcat/IIS webserver draait, dan heb je meteen ook WebDAV tot je beschikking, want het is onderdeel van het HTTP protocol. Kost het meeste tijd om het te activeren in IIS, maar is simpel in Linux-gebaseerde webservers.

En ja, dat is zo'n beetje hetzelfde als GoogleDrive/DropBox/SharePoint.

Waarom ik dit benoem? Voor werk dien ik vaak bestanden over te halen van 1 continent naar een ander continent. Via FTP neemt een typische bestandsoverdracht ruim een uur in beslag. Trek ik dezelfde bestanden over via dezelfde computers, maar nu via WebDAV, dan neemt de bestandsoverdracht iets meer dan 10 minuten in beslag. WebDAV werkt gewoon via poort 80/443. Poort 22 kan dus dicht blijven als je bestandsaanpassingen dient te plegen op je webserver. Des te minder poorten open, des te veiliger je webserver zal zijn.

Veel mensen zijn niet bekend met WebDAV, iedereen kent FTP (SFTP). Typisch geval van 'onbekend maakt onbemind'.

Bestanden via Shell overbrengen is via SFTP wel makkelijk, dat geeft ik toe. Maar als je ergens een NingX/Apache/Tomcat/IIS webserver draait, dan heb je meteen ook WebDAV tot je beschikking, want het is onderdeel van het HTTP protocol. Kost het meeste tijd om het te activeren in IIS, maar is simpel in Linux-gebaseerde webservers.

Des te minder poorten open, des te veiliger je webserver zal zijn.

Je hoeft mij niet te overtuigen hoe handig WebDAV is voor webservers, maar dat is nou niet bepaald het enige type server ter wereld... Dus volg ik niet hoe de voordelen in die specifieke context opeens zouden betekenen dat SFTP " zou al jaren geleden een stille dood moeten sterven" en je vraagt waarom "dit nog in de meuktracker zit". Het lijkt net alsof je een soort tunnelvisie hebt dat er alleen webservers bestaan en je dus nooit meer wat anders dan WebDAV nodig heeft voor filetransfer... Denk je echt dat ik op een databasecluster nginx ga installeren en firewall access etc ga openzetten om WebDAV te kunnen serven in plaats van gewoon SFTP via de management account te gebruiken? Dat slaat toch nergens op? Om jezelf te quoten "Des te minder poorten open, des te veiliger je webserver zal zijn.". Nog even los van het feit dat je doorgaans een server managet via een management VLAN bereikbaar via een apart VPN.

Ja WebDAV heeft vele voordelen, maar het is niet een all-round oplossing. FTP en FTPS zijn logischerwijze deprecated en onveilig, maar SFTP is dat geheel niet en zal dat ook niet snel worden. Simpelweg omdat het een andere, belangrijke use case bedient. En dus ook daar zal FileZilla nuttig voor blijven.

[Reactie gewijzigd door The Third Man op 12 augustus 2021 10:23]

Installeer eens een Oracle DB server, al dan niet in een cluster. Zit standaard een webserver bij. Je kan het namelijk via je browser beheren. Niet dat je zou willen, maar dat is een ander verhaal.

Mijn 1e punt is dat er grote(re) software paketten vaak van webservers voorzien zijn. Of dat verstandig is of niet, opnieuw een ander verhaal.

Beschuldig me maar van tunnel-visie, ik maak gebruik van wat er beschikbaar is. En de tijdswinst met WebDAV in mijn proces, daar word de baas vrolijker van.

Bedenk me nu nog wat. Tegenwoordig zijn er wel een heleboel verschillende formaten voor certificaten. Via OpenSSL ios het makkelijk om certificaten te genereren (self-signed, puur voor testdoeleinden). Deze werken prima in Outlook voor mail en de webserver. Bezoek je (interne) test website dan gaat dat ook goed met elke browser die geen Chrome heet.

Chrome accepteert deze niet omdat deze niet volgens SAN standaard zijn gedefinieerd. Heb je OpenSSL weer nodig voor een aantal vertaal-slagen en dan heb je je certificaat in SAN formaat en zeurt Chrome niet meer. De rest van de browsers ook niet. Filezilla accepeert deze SAN certificaten dan weer niet.

Een (zeer) simpele SFTP server voor test doeleinden kun je downloaden van de rebex website. Deze accepteert SAN en en non-SAN certificaten.

Flink wat woorden om mijn 2e punt te maken. Door zoveel mogelijk 1 soort van verbinding open te zetten, web servers vaker dan verwacht aanwezig zijn en tegenwoordig zo'n beetje alles via de browser moet worden bedient, waarom jezelf dan nog plagen door het certificaten ge-emmer in de produkten van verschillende software aanbieders? Niet alleen reduceer ik dan open poorten, dan lijkt het me ook simpeler om de common-denominator zoveel mogelijk toe te passen en certificaten gezeur in te perken. Valt de keuze toch snel op WebDAV.

Voor jou is dat blijkbaar SFTP. Voor mij dus heel veel minder tot niet.

Vond het gedrag van Filezilla met dat niet wilde werken met functionerende certificaten niet bepaald bewonderenswaardig. Als een mature stuk software als FileZilla zulke beren op de weg zet, dan heb ik er geen moeite mee om me voor te stellen dat andere FTP servers (betaald/onbetaald) dezelfde neiging hebben. Dan is het beter om FTP als geheel uit zijn lijden te verlossen.

Maar goed, we gaan het eens worden over dat we het oneens met elkaar zijn.

Ik heb niet het idee dat we oneens met elkaar zijn, ik ontken niet dat WebDAV een logische keuze is in gevallen die je noemt. Ik zeg enkel dat er ook zat gevallen zijn waarbij web-access niet praktisch is dat je daar SFTP gebruikt. En dus een SFTP-client een logisch bestaansrecht heeft. Je doet nu net alsof het aangeven dat er 2 scenario's zijn betekent dat ik het originele scenario (WebDAV als vervanger van (S)FTP) zou afschieten, dan redeneer je toch te kort door de bocht. Dat was dan ook het punt met de 'tunnelvisie', namelijk dat je het enkel vanuit 1 perspectief lijkt te bekijken (WebDAV is veel handiger, dus waarom zou je nog wat anders gebruiken) en moeite lijkt te hebben met het bedenken van meer dan 1 perspectief, namelijk datgene dat ik ook aandraag. Ik bedenk me nu dat Git ook een duidelijk voorbeeld hiervan is: dat kan zowel SSH als HTTPS gebruiken, omdat beiden logische toepassingsgebieden hebben.

Volgens mij hoef je het niet met iemand oneens te zijn om aan te geven dat iemands standpunt wat beperkt is ten opzichte van de bredere realiteit.

[Reactie gewijzigd door The Third Man op 13 augustus 2021 11:12]

Hoe verhoudt Filezilla Pro zich tot Cyberduck? Iemand ervaring met beide?