WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.5.6
   3                            March 9, 2017
   4                    =============================
   5
   6
   7 This is the latest stable release of the Samba 4.5 release series.
   8
   9
  10 Changes since 4.5.5:
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 12499: s3: vfs: dirsort doesn't handle opendir of "." correctly.
  15    * BUG 12531: vfs_shadow_copy2 doesn't cope with server changing directories.
  16    * BUG 12546: vfs_streams_xattr doesn't cope with server changing directories.
  17    * BUG 12572: s3: smbd: Don't loop infinitely on bad-symlink resolution.
  18    * BUG 12608: s3: smbd: Restart reading the incoming SMB2 fd when the send
  19      queue is drained.
  20
  21 o  Andrew Bartlett <abartlet@samba.org>
  22    * BUG 12573: Samba < 4.7 does not know about compatibleFeatures and
  23      requiredFeatures.
  24
  25 o  Ralph Boehme <slow@samba.org>
  26    * BUG 12184: s3/rpc_server: Shared rpc modules loading.
  27    * BUG 12427: vfs_fruit doesn't work with fruit:metadata=stream.
  28    * BUG 12520: Ensure global "smb encrypt = off" is effective.
  29    * BUG 12524: s3/rpc_server: move rpc_modules.c to its own subsystem.
  30    * BUG 12536: s3/smbd: check for invalid access_mask
  31      smbd_calculate_access_mask().
  32    * BUG 12541: vfs_fruit: checks wrong AAPL config state and so always uses
  33      readdirattr.
  34    * BUG 12545: s3/rpc_server/mdssvc: add attribute "kMDItemContentType".
  35    * BUG 12591: vfs_streams_xattr: use fsp, not base_fsp.
  36    * BUG 12604: vfs_fruit: Enabling AAPL extensions must be a global switch.
  37
  38 o  Amitay Isaacs <amitay@gmail.com>
  39    * BUG 12469: ctdb-tests: Use replace headers instead of system headers.
  40    * BUG 12547: ctdb-build: Install CTDB tests correctly from toplevel.
  41    * BUG 12580: ctdb-common: Fix use-after-free error in comm_fd_handler().
  42
  43 o  Volker Lendecke <vl@samba.org>
  44    * BUG 12551: smbd: Fix "map acl inherit" = yes.
  45
  46 o  Stefan Metzmacher <metze@samba.org>
  47    * BUG 9048: s4:ldap_server: Match Windows in the error messages of failing
  48      LDAP Bind requests.
  49    * BUG 11830: s3:winbindd: Try a NETLOGON connection with noauth over NCACN_NP
  50      against trusted domains.
  51    * BUG 12262: 'net ads testjoin' and smb access fails after winbindd changed the
  52      trust password.
  53    * BUG 12399: s4:repl_meta_data: Normalize rdn attribute name via the schema.
  54    * BUG 12540: s3:smbd: Allow "server min protocol = SMB3_00" to go via "SMB
  55      2.???" negprot.
  56    * BUG 12581: smbclient fails on bad endianess when listing shares from
  57      Solaris kernel SMB server on SPARC.
  58    * BUG 12585: librpc/rpc: fix regression in
  59      NT_STATUS_RPC_ENUM_VALUE_OUT_OF_RANGE error mapping.
  60    * BUG 12586: libcli/auth: Use the correct creds value against servers without
  61      LogonSamLogonEx.
  62    * BUG 12587: winbindd child segfaults on connect to an NT4 domain.
  63    * BUG 12588: cm_prepare_connection may return NT_STATUS_OK without a valid
  64      connection.
  65    * BUG 12598: winbindd (as member) requires Kerberos against trusted ad
  66      domain, while it shouldn't.
  67    * BUG 12605: s3:winbindd: Fix endless forest trust scan.
  68
  69 o  Garming Sam <garming@catalyst.net.nz>
  70    * BUG 12577: dbcheck-links: Test that dbcheck against one-way links does not
  71      error.
  72    * BUG 12600: dbchecker: Stop ignoring linked cases where both objects are
  73      alive.
  74
  75 o  Andreas Schneider <asn@samba.org>
  76    * BUG 12571: s3-vfs: Only walk the directory once in open_and_sort_dir().
  77
  78 o  Martin Schwenke <martin@meltin.net>
  79    * BUG 12589: ctdb-scripts: Initialise CTDB_NFS_CALLOUT in statd-callout.
  80
  81 o  Uri Simchoni <uri@samba.org>
  82    * BUG 12529: waf: backport finding of pkg-config.
  83
  84
  85 #######################################
  86 Reporting bugs & Development Discussion
  87 #######################################
  88
  89 Please discuss this release on the samba-technical mailing list or by
  90 joining the #samba-technical IRC channel on irc.freenode.net.
  91
  92 If you do report problems then please try to send high quality
  93 feedback. If you don't provide vital information to help us track down
  94 the problem then you will probably be ignored.  All bug reports should
  95 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  96 database (https://bugzilla.samba.org/).
  97
  98
  99 ======================================================================
 100 == Our Code, Our Bugs, Our Responsibility.
 101 == The Samba Team
 102 ======================================================================
 103
 104
 105 Release notes for older releases follow:
 106 ----------------------------------------
 107
 108                    =============================
 109                    Release Notes for Samba 4.5.5
 110                           January 30, 2017
 111                    =============================
 112
 113
 114 This is the latest stable release of the Samba 4.5 release series.
 115
 116 Samba 4.5.4 erroneously included a rewrite of the vfs_fruit module.
 117 This patchset will be reverted with this release, because it needs to pass the
 118 review process first. If you are using the vfs_fruit module, please do not use
 119 Samba 4.5.4.
 120
 121 Changes since 4.5.4:
 122 --------------------
 123
 124 o  Amitay Isaacs <amitay@gmail.com>
 125    * BUG 12469: ctdb-locking: Explicitly unlock record/db in lock helper.
 126
 127 o  Björn Jacke <bj@sernet.de>
 128    * BUG 12535: vfs_default: Unlock the right file in copy chunk.
 129
 130 o  Martin Schwenke <martin@meltin.net>
 131    * BUG 12512: ctdb-scripts: Fix remaining uses of "ctdb gratiousarp".
 132    * BUG 12516: ctdb-scripts: /etc/iproute2/rt_tables gets populated with multiple
 133      'default' entries.
 134
 135
 136 #######################################
 137 Reporting bugs & Development Discussion
 138 #######################################
 139
 140 Please discuss this release on the samba-technical mailing list or by
 141 joining the #samba-technical IRC channel on irc.freenode.net.
 142
 143 If you do report problems then please try to send high quality
 144 feedback. If you don't provide vital information to help us track down
 145 the problem then you will probably be ignored.  All bug reports should
 146 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 147 database (https://bugzilla.samba.org/).
 148
 149
 150 ======================================================================
 151 == Our Code, Our Bugs, Our Responsibility.
 152 == The Samba Team
 153 ======================================================================
 154
 155
 156 ----------------------------------------------------------------------
 157
 158
 159                    =============================
 160                    Release Notes for Samba 4.5.4
 161                           January 18, 2017
 162                    =============================
 163
 164
 165 This is the latest stable release of the Samba 4.5 release series.
 166
 167
 168 Changes since 4.5.3:
 169 --------------------
 170
 171 o  Jeremy Allison <jra@samba.org>
 172    * BUG 12460: rename_internals_fsp missing ACL permission-check on destination
 173      folder.
 174    * BUG 12466: lib: security: se_access_check() incorrectly processes owner
 175      rights (S-1-3-4) DENY ace entries.
 176    * BUG 12467: s3: ntlm_auth: Don't corrupt the output stream with debug
 177      messages.
 178    * BUG 12479: s3: libsmb: Add cli_smb2_ftruncate(), plumb into
 179      cli_ftruncate().
 180
 181 o  Ralph Boehme <slow@samba.org>
 182    * BUG 12396: s3/smbd: Remove a misleading error message.
 183    * BUG 12412: vfs_fruit: Fix "fruit:resource" option spelling, but not
 184      behaviour.
 185    * BUG 12485: ctdbd_conn: Fix a resource leak.
 186
 187 o  David Disseldorp <ddiss@samba.org>
 188    * BUG 12144: smbd/ioctl: match WS2016 ReFS set compression behaviour.
 189
 190 o  Björn Jacke <bj@sernet.de>
 191    * BUG 2210: pam: Map more NT password errors to PAM errors.
 192
 193 o  Volker Lendecke <vl@samba.org>
 194    * BUG 12484: winbindd: Use idmap cache in xids2sids.
 195    * BUG 12509: messaging: Fix dead but not cleaned-up-yet destination sockets.
 196
 197 o  Stefan Metzmacher <metze@samba.org>
 198    * BUG 12480: kinit succeeded but ads_sasl_spnego_gensec_bind(KRB5) failed: An
 199      internal error occurred (with MIT krb5).
 200
 201 o  Andreas Schneider <asn@samba.org>
 202    * BUG 12183: printing: Fix building with CUPS version older than 1.7.
 203    * BUG 12441: s3:libads: Include system /etc/krb5.conf if we use MIT Kerberos.
 204
 205 o  Martin Schwenke <martin@meltin.net>
 206    * BUG 12470: Fix ctdb ip bugs.
 207
 208
 209 #######################################
 210 Reporting bugs & Development Discussion
 211 #######################################
 212
 213 Please discuss this release on the samba-technical mailing list or by
 214 joining the #samba-technical IRC channel on irc.freenode.net.
 215
 216 If you do report problems then please try to send high quality
 217 feedback. If you don't provide vital information to help us track down
 218 the problem then you will probably be ignored.  All bug reports should
 219 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 220 database (https://bugzilla.samba.org/).
 221
 222
 223 ======================================================================
 224 == Our Code, Our Bugs, Our Responsibility.
 225 == The Samba Team
 226 ======================================================================
 227
 228
 229 ----------------------------------------------------------------------
 230
 231
 232                    =============================
 233                    Release Notes for Samba 4.5.3
 234                           December 19, 2016
 235                    =============================
 236
 237
 238 This is a security release in order to address the following defects:
 239
 240 o  CVE-2016-2123 (Samba NDR Parsing ndr_pull_dnsp_name Heap-based Buffer
 241    Overflow Remote Code Execution Vulnerability).
 242 o  CVE-2016-2125 (Unconditional privilege delegation to Kerberos servers in
 243    trusted realms).
 244 o  CVE-2016-2126 (Flaws in Kerberos PAC validation can trigger privilege
 245    elevation).
 246
 247 =======
 248 Details
 249 =======
 250
 251 o  CVE-2016-2123:
 252    The Samba routine ndr_pull_dnsp_name contains an integer wrap problem,
 253    leading to an attacker-controlled memory overwrite. ndr_pull_dnsp_name
 254    parses data from the Samba Active Directory ldb database.  Any user
 255    who can write to the dnsRecord attribute over LDAP can trigger this
 256    memory corruption.
 257
 258    By default, all authenticated LDAP users can write to the dnsRecord
 259    attribute on new DNS objects. This makes the defect a remote privilege
 260    escalation.
 261
 262 o  CVE-2016-2125
 263    Samba client code always requests a forwardable ticket
 264    when using Kerberos authentication. This means the
 265    target server, which must be in the current or trusted
 266    domain/realm, is given a valid general purpose Kerberos
 267    "Ticket Granting Ticket" (TGT), which can be used to
 268    fully impersonate the authenticated user or service.
 269
 270 o  CVE-2016-2126
 271    A remote, authenticated, attacker can cause the winbindd process
 272    to crash using a legitimate Kerberos ticket due to incorrect
 273    handling of the arcfour-hmac-md5 PAC checksum.
 274
 275    A local service with access to the winbindd privileged pipe can
 276    cause winbindd to cache elevated access permissions.
 277
 278
 279 Changes since 4.5.2:
 280 --------------------
 281
 282 o  Volker Lendecke <vl@samba.org>
 283    * BUG 12409: CVE-2016-2123: Fix DNS vuln ZDI-CAN-3995.
 284
 285 o  Stefan Metzmacher <metze@samba.org>
 286    * BUG 12445: CVE-2016-2125: Don't send delegated credentials to all servers.
 287    * BUG 12446: CVE-2016-2126: auth/kerberos: Only allow known checksum types in
 288      check_pac_checksum().
 289
 290
 291 #######################################
 292 Reporting bugs & Development Discussion
 293 #######################################
 294
 295 Please discuss this release on the samba-technical mailing list or by
 296 joining the #samba-technical IRC channel on irc.freenode.net.
 297
 298 If you do report problems then please try to send high quality
 299 feedback. If you don't provide vital information to help us track down
 300 the problem then you will probably be ignored.  All bug reports should
 301 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 302 database (https://bugzilla.samba.org/).
 303
 304
 305 ======================================================================
 306 == Our Code, Our Bugs, Our Responsibility.
 307 == The Samba Team
 308 ======================================================================
 309
 310
 311 ----------------------------------------------------------------------
 312
 313
 314                    =============================
 315                    Release Notes for Samba 4.5.2
 316                           December 07, 2016
 317                    =============================
 318
 319
 320 This is the latest stable release of the Samba 4.5 release series.
 321
 322
 323 Changes since 4.5.1:
 324 --------------------
 325
 326 o  Michael Adam <obnox@samba.org>
 327    * BUG 12404: vfs:glusterfs: Preallocate result for glfs_realpath.
 328
 329 o  Jeremy Allison <jra@samba.org>
 330    * BUG 12384: s3: vfs: Remove files/directories after the streams are deleted.
 331    * BUG 12387: s3: vfs_streams_depot: Use conn->connectpath not conn->cwd.
 332    * BUG 12436: s3/smbd: Fix the last resort check that sets the file type
 333      attribute.
 334
 335 o  Andrew Bartlett <abartlet@samba.org>
 336    * BUG 9954: dsdb: Create RID Set as SYSTEM.
 337    * BUG 12297: dbcheck: Correct message for orphaned backlinks.
 338    * BUG 12395: build: Fix build with perl on debian sid.
 339    * BUG 12398: Fix errors in extended operations (like allocating a RID Set).
 340
 341 o  Günther Deschner <gd@samba.org>
 342    * BUG 11197: spoolss: Use correct values for secdesc and devmode pointers.
 343
 344 o  Clive Ferreira <cliveferreira@catalyst.net.nz>
 345    * BUG 12394: objectclass_attrs: Only abort on a missing attribute when an
 346      attribute is both MUST and replicated.
 347
 348 o  Amitay Isaacs <amitay@gmail.com>
 349    * BUG 12366: provision,dlz-bind: Add support for BIND 9.11.x.
 350    * BUG 12392: ctdb-locking: Reset real-time priority in lock helper.
 351    * BUG 12407: ctdb-scripts: Fix calculation of CTDB_BASE.
 352    * BUG 12434: ctdb-recovery: Avoid NULL dereference in failure case.
 353
 354 o  Stefan Metzmacher <metze@samba.org>
 355    * BUG 10297: s3:smbd: Only pass UCF_PREP_CREATEFILE to filename_convert() if
 356      we may create a new file.
 357
 358 o  Mathieu Parent <math.parent@gmail.com>
 359    * BUG 12371: ctdb-scripts: Fix Debian init in samba eventscript.
 360
 361 o  Garming Sam <garming@catalyst.net.nz>
 362    * BUG 9954: samba_tool/fsmo: Allocate RID Set when seizing RID manager.
 363    * BUG 10882: s4-auth: Don't check for NULL saltPrincipal if it doesn't need
 364      it.
 365    * BUG 12297: upgradeprovision: Remove objectCategory from constructed attrs.
 366    * BUG 12385: collect_tombstones: Allow links to recycled objects to be
 367      deleted.
 368
 369 o  Andreas Schneider <asn@samba.org>
 370    * BUG 12183: s3-printing: Correctly encode CUPS printer URIs.
 371    * BUG 12195: s3-printing: Allow printer names longer than 16 chars.
 372    * BUG 12269: nss_wins: Fix errno values for HOST_NOT_FOUND.
 373    * BUG 12405: s3-winbind: Do not return NO_MEMORY if we have an empty user
 374      list.
 375    * BUG 12415: s3:spoolss: Add support for COPY_FROM_DIRECTORY in
 376      AddPrinterDriverEx.
 377
 378 o  Martin Schwenke <martin@meltin.net>
 379    * BUG 12104: ctdb-packaging: Move CTDB tests to /usr/local/share/ctdb/tests/.
 380
 381 o  Uri Simchoni <uri@samba.org>
 382    * BUG 12375: smbd: In ntlm auth, do not map empty domain in case of
 383      \user@realm.
 384
 385 o  Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 386    * BUG 12372: ctdb-conn: Add missing variable initialization.
 387
 388
 389 #######################################
 390 Reporting bugs & Development Discussion
 391 #######################################
 392
 393 Please discuss this release on the samba-technical mailing list or by
 394 joining the #samba-technical IRC channel on irc.freenode.net.
 395
 396 If you do report problems then please try to send high quality
 397 feedback. If you don't provide vital information to help us track down
 398 the problem then you will probably be ignored.  All bug reports should
 399 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 400 database (https://bugzilla.samba.org/).
 401
 402
 403 ======================================================================
 404 == Our Code, Our Bugs, Our Responsibility.
 405 == The Samba Team
 406 ======================================================================
 407
 408
 409 ----------------------------------------------------------------------
 410
 411
 412                    =============================
 413                    Release Notes for Samba 4.5.1
 414                           October 26, 2016
 415                    =============================
 416
 417
 418 This is the latest stable release of the Samba 4.5 release series.
 419
 420 Major enhancements in Samba 4.5.1 include:
 421
 422 o  Let winbindd discard expired kerberos tickets when built against
 423    (internal) heimdal (BUG #12369).
 424 o  REGRESSION: smbd segfaults on startup, tevent context being freed
 425    (BUG #12283).
 426
 427
 428 Changes since 4.5.0:
 429 --------------------
 430
 431 o  Jeremy Allison <jra@samba.org>
 432    * BUG 11259: smbd contacts a domain controller for each session.
 433    * BUG 12272: Fix messaging subsystem crash.
 434    * BUG 12283: REGRESSION: smbd segfaults on startup, tevent context being
 435      freed.
 436    * BUG 12381: s3: cldap: cldap_multi_netlogon_send() fails with one bad IPv6
 437      address.
 438    * BUG 12383: s3: libsmb: Fix cut and paste error using the wrong structure
 439      type.
 440
 441 o  Christian Ambach <ambi@samba.org>
 442    * BUG 9945: Setting specific logger levels in smb.conf makes 'samba-tool drs
 443      showrepl' crash.
 444
 445 o  Andrew Bartlett <abartlet@samba.org>
 446    * BUG 12382: Tombstone expunge does not remove old links.
 447
 448 o  Björn Baumbach <bb@sernet.de>
 449    * BUG 8618: s3-printing: Fix migrate printer code.
 450
 451 o  Ralph Boehme <slow@samba.org>
 452    * BUG 12256: s3/smbd: In call_trans2qfilepathinfo call lstat when dealing
 453      with posix pathnames.
 454    * BUG 12261: s3/smbd: Set FILE_ATTRIBUTE_DIRECTORY as necessary.
 455
 456 o  Günther Deschner <gd@samba.org>
 457    * BUG 12285: "DriverVersion" registry backend parsing incorrect in spoolss.
 458
 459 o  David Disseldorp <ddiss@samba.org>
 460    * BUG 12144: smbd/ioctl: Match WS2016 ReFS get compression behaviour.
 461
 462 o  Amitay Isaacs <amitay@gmail.com>
 463    * BUG 12259: ctdb-protocol: Fix marshalling for GET_DB_SEQNUM control
 464      request.
 465    * BUG 12275: ctdb-recovery-helper: Add missing initialisation of ban_credits.
 466    * BUG 12287: CTDB PID file handling is too weak.
 467
 468 o  Volker Lendecke <vl@samba.org>
 469    * BUG 12045: gencache: Bail out of stabilize if we can not get the allrecord
 470      lock.
 471    * BUG 12268: smbd: Reset O_NONBLOCK on open files.
 472    * BUG 12283: glusterfs: Avoid tevent_internal.h.
 473    * BUG 12291: source3/lib/msghdr.c, line 208: syntax error before or at: ;.
 474    * BUG 12374: spoolss: Fix caching of printername->sharename.
 475
 476 o  Stefan Metzmacher <metze@samba.org>
 477    * BUG 12283: REGRESSION: smbd segfaults on startup, tevent context being
 478      freed.
 479    * BUG 12369: Let winbindd discard expired kerberos tickets when built against
 480      (internal) heimdal.
 481
 482 o  Noel Power <noel.power@suse.com>
 483    * BUG 12298: s3/winbindd: Fix using default domain with user@domain.com
 484      format.
 485
 486 o  Christof Schmitt <cs@samba.org>
 487    * BUG 12295: winbind: Fix passing idmap failure from wb_sids2xids back to
 488      callers.
 489
 490 o  Andreas Schneider <asn@samba.org>
 491    * BUG 12269: nss_wins has incorrect function definitions for gethostbyname*.
 492    * BUG 12276: s3-lib: Fix %G substitution in AD member environment.
 493    * BUG 12364: s3-utils: Fix loading smb.conf in smbcquotas.
 494
 495 o  Garming Sam <garming@catalyst.net.nz>
 496    * BUG 12286: kcc: Don't check schedule if None.
 497    * BUG 12382: Tombstone expunge does not remove old links.
 498
 499 o  Anoop C S <anoopcs@redhat.com>
 500    * BUG 12377: vfs_glusterfs: Fix a memory leak in connect path.
 501
 502 o  Martin Schwenke <martin@meltin.net>
 503    * BUG 12254: CTDB IP takeover does not complete if there are no public
 504      addresses configured.
 505    * BUG 12255: ctdb-packaging: Fix systemd network dependency.
 506    * BUG 12287: CTDB PID file handling is too weak.
 507
 508 o  Uri Simchoni <uri@samba.org>
 509    * BUG 12270: smbcquotas: Fix error message listing quotas.
 510    * BUG 12273: s3-sysquotas: Correctly restore path when finding mount point.
 511    * BUG 12288: cliquota: Fix param count when setting fs quota.
 512    * BUG 12289: smbd: Free talloc context if no quota records are available.
 513    * BUG 12307: ntquotas: Support "freeing" an empty quota list.
 514
 515
 516 #######################################
 517 Reporting bugs & Development Discussion
 518 #######################################
 519
 520 Please discuss this release on the samba-technical mailing list or by
 521 joining the #samba-technical IRC channel on irc.freenode.net.
 522
 523 If you do report problems then please try to send high quality
 524 feedback. If you don't provide vital information to help us track down
 525 the problem then you will probably be ignored.  All bug reports should
 526 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 527 database (https://bugzilla.samba.org/).
 528
 529
 530 ======================================================================
 531 == Our Code, Our Bugs, Our Responsibility.
 532 == The Samba Team
 533 ======================================================================
 534
 535
 536 ----------------------------------------------------------------------
 537
 538
 539                    =============================
 540                    Release Notes for Samba 4.5.0
 541                            September 7, 2016
 542                    =============================
 543
 544
 545 This is the first stable release of the Samba 4.5 release series.
 546
 547
 548 UPGRADING
 549 =========
 550
 551 NTLMv1 authentication disabled by default
 552 -----------------------------------------
 553
 554 In order to improve security we have changed
 555 the default value for the "ntlm auth" option from
 556 "yes" to "no". This may have impact on very old
 557 clients which doesn't support NTLMv2 yet.
 558
 559 The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.
 560
 561 By default, Samba will only allow NTLMv2 via NTLMSSP now,
 562 as we have the following default "lanman auth = no",
 563 "ntlm auth = no" and "raw NTLMv2 auth = no".
 564
 565
 566 NEW FEATURES/CHANGES
 567 ====================
 568
 569 Support for LDAP_SERVER_NOTIFICATION_OID
 570 ----------------------------------------
 571
 572 The ldap server has support for the LDAP_SERVER_NOTIFICATION_OID
 573 control. This can be used to monitor the Active Directory database
 574 for changes.
 575
 576 KCC improvements for sparse network replication
 577 -----------------------------------------------
 578
 579 The Samba KCC will now be the default knowledge consistency checker in
 580 Samba AD. Instead of using full mesh replication between every DC, the
 581 KCC will set up connections to optimize replication latency and cost
 582 (using site links to calculate the routes). This change should allow
 583 larger domains to function significantly better in terms of replication
 584 traffic and the time spent performing DRS replication.
 585
 586 VLV - Virtual List View
 587 -----------------------
 588
 589 The VLV Control allows applications to page the LDAP directory in the
 590 way you might expect a live phone book application to operate, without
 591 first downloading the entire directory.
 592
 593 DRS Replication for the AD DC
 594 -----------------------------
 595
 596 DRS Replication in Samba 4.5 is now much more efficient in handling
 597 linked attributes, particularly in large domains with over 1000 group
 598 memberships or other links.
 599
 600 Replication is also much more reliable in the handling of tree
 601 renames, such as the rename of an organizational unit containing many
 602 users.  Extensive tests have been added to ensure this code remains
 603 reliable, particularly in the case of conflicts between objects added
 604 with the same name on different servers.
 605
 606 Schema updates are also handled much more reliably.
 607
 608 samba-tool drs replicate with new options
 609 -----------------------------------------
 610
 611 'samba-tool drs replicate' got two new options:
 612
 613 The option '--local-online' will do the DsReplicaSync() via IRPC
 614 to the local dreplsrv service.
 615
 616 The option '--async-op' will add DRSUAPI_DRS_ASYNC_OP to the
 617 DsReplicaSync(), which won't wait for the replication result.
 618
 619 replPropertyMetaData Changes
 620 ----------------------------
 621
 622 During the development of the DRS replication, tests showed that Samba
 623 stores the replPropertyMetaData object incorrectly. To address this,
 624 be aware that 'dbcheck' will now detect and offer to fix all objects in
 625 the domain for this error.
 626
 627 For further information and instructions how to fix the problem, see
 628 https://wiki.samba.org/index.php/Updating_Samba#Fixing_replPropertyMetaData_Attributes
 629
 630 Linked attributes on deleted objects
 631 ------------------------------------
 632
 633 In Active Directory, an object that has been tombstoned or recycled
 634 has no linked attributes.  However, Samba incorrectly maintained such
 635 links, slowing replication and run-time performance.  'dbcheck' now
 636 offers to remove such links, and they are no longer kept after the
 637 object is tombstoned or recycled.
 638
 639 Improved AD DC performance
 640 --------------------------
 641
 642 Many other improvements have been made to our LDAP database layer in
 643 the AD DC, to improve performance, both during 'samba-tool domain
 644 provision' and at runtime.
 645
 646 Other dbcheck improvements
 647 --------------------------
 648
 649  - 'samba-tool dbcheck' can now find and fix a missing or corrupted
 650    'deleted objects' container.
 651  - BUG 11433: samba-dbcheck no longer offers to resort auxiliary class values
 652    in objectClass as these were then re-sorted at the next dbcheck indefinitely.
 653
 654 Tombstone Reanimation
 655 ---------------------
 656
 657 Samba now supports tombstone reanimation, a feature in the AD DC
 658 allowing tombstones, that is objects which have been deleted, to be
 659 restored with the original SID and GUID still in place.
 660
 661 Multiple DNS Forwarders on the AD DC
 662 ------------------------------------
 663
 664 Previously, the Samba internal DNS server supported only one DNS forwarder.
 665 The "dns forwarder" option has been enhanced and now supports a space-separated
 666 list of multiple DNS server IP addresses. As a result, Samba is now able to
 667 fall back to alternative DNS servers. In case that a DNS query to the first
 668 server timed out, it is sent to the next DNS server listed in the option.
 669
 670 Password quality plugin support in the AD DC
 671 --------------------------------------------
 672
 673 The check password script now operates correctly in the AD DC.
 674
 675 pwdLastSet is now correctly honoured
 676 ------------------------------------
 677
 678 BUG 9654: The pwdLastSet attribute is now correctly handled (this previously
 679 permitted passwords that expire next).
 680
 681 net ads dns unregister
 682 ----------------------
 683
 684 It is now possible to remove the DNS entries created with 'net ads register'
 685 with the matching 'net ads unregister' command.
 686
 687 samba-tool improvements
 688 ------------------------
 689
 690 Running 'samba-tool' on the command line should now be a lot snappier. The tool
 691 now only loads the code specific to the subcommand that you wish to run.
 692
 693 SMB 2.1 Leases enabled by default
 694 ---------------------------------
 695
 696 Leasing is an SMB 2.1 (and higher) feature which allows clients to
 697 aggressively cache files locally above and beyond the caching allowed
 698 by SMB 1 oplocks. This feature was disabled in previous releases, but
 699 the SMB2 leasing code is now considered mature and stable enough to be
 700 enabled by default.
 701
 702 Open File Description (OFD) Locks
 703 ---------------------------------
 704
 705 On systems that support them (currently only Linux), the fileserver now
 706 uses Open File Description (OFD) locks instead of POSIX locks to implement
 707 client byte range locks. As these locks are associated with a specific
 708 file descriptor on a file this allows more efficient use when multiple
 709 descriptors having file locks are opened onto the same file. An internal
 710 tunable "smbd:force process locks = true" may be used to turn off OFD
 711 locks if there appear to be problems with them.
 712
 713 Password sync as Active Directory domain controller
 714 ---------------------------------------------------
 715
 716 The new commands 'samba-tool user getpassword'
 717 and 'samba-tool user syncpasswords' provide
 718 access and syncing of various password fields.
 719
 720 If compiled with GPGME support (--with-gpgme) it's
 721 possible to store cleartext passwords in a PGP/OpenGPG
 722 encrypted form by configuring the new "password hash gpg key ids"
 723 option. This requires gpgme devel and python packages to be installed
 724 (e.g. libgpgme11-dev and python-gpgme on Debian/Ubuntu).
 725
 726 Python crypto requirements
 727 --------------------------
 728
 729 Some 'samba-tool' subcommands require python-crypto and/or
 730 python-m2crypto packages to be installed.
 731
 732 SmartCard/PKINIT improvements
 733 -----------------------------
 734
 735 'samba-tool user create' accepts "--smartcard-required"
 736 and 'samba-tool user setpassword' accepts "--smartcard-required"
 737 and "--clear-smartcard-required".
 738
 739 Specifying "--smartcard-required" results in the UF_SMARTCARD_REQUIRED
 740 flags being set in the userAccountControl attribute.
 741 At the same time, the account password is reset to a random
 742 NTHASH value.
 743
 744 Interactive password logons are rejected, if the UF_SMARTCARD_REQUIRED
 745 bit is set in the userAccountControl attribute of a user.
 746
 747 When doing a PKINIT based Kerberos logon the KDC adds the
 748 required PAC_CREDENTIAL_INFO element to the authorization data.
 749 That means the NTHASH is shared between the PKINIT based client and
 750 the domain controller, which allows the client to do NTLM based
 751 authentication on behalf of the user. It also allows an offline
 752 logon using a smartcard to work on Windows clients.
 753
 754 CTDB changes
 755 ------------
 756
 757 * New improved 'ctdb tool'
 758
 759   'ctdb tool' has been completely rewritten using new client API.
 760   Usage messages are much improved.
 761
 762 * Sample CTDB configuration file is installed as ctdbd.conf.
 763
 764 * The use of real-time scheduling when taking locks has been narrowed
 765   to limit potential performance impacts on nodes.
 766
 767 * CTDB_RECOVERY_LOCK now supports specification of an external helper
 768   to take and hold the recovery lock.
 769
 770   See the RECOVERY LOCK section in ctdb(7) for details.  Documentation
 771   for writing helpers is provided in doc/cluster_mutex_helper.txt.
 772
 773 * "ctdb natgwlist" has been replaced by a top level "ctdb natgw"
 774   command that has "master", "list" and "status" subcommands.
 775
 776 * The 'onnode' command no longer supports the "recmaster", "lvs" and
 777   "natgw" node specifications.
 778
 779 * Faster resetting of TCP connections to public IP addresses during
 780   failover.
 781
 782 * Tunables MaxRedirectCount, ReclockPingPeriod,
 783   DeferredRebalanceOnNodeAdd are now obsolete/ignored.
 784
 785 * "ctdb listvars" now lists all variables, including the first one.
 786
 787 * "ctdb xpnn", "ctdb rebalanceip" and "ctdb rebalancenode" have been
 788   removed.
 789
 790   These are not needed because "ctdb reloadips" should do the correct
 791   rebalancing.
 792
 793 * Output for the following commands has been simplified:
 794
 795     ctdb getdbseqnum
 796     ctdb getdebug
 797     ctdb getmonmode
 798     ctdb getpid
 799     ctdb getreclock
 800     ctdb getpid
 801     ctdb pnn
 802
 803   These now simply print the requested output with no preamble.  This
 804   means that scripts no longer need to strip part of the output.
 805
 806   "ctdb getreclock" now prints nothing when the recovery lock is not
 807   set.
 808
 809 * Output for the following commands has been improved:
 810
 811   ctdb setdebug
 812   ctdb uptime
 813
 814 * 'ctdb process-exists' has been updated to only take a PID argument.
 815
 816   The PNN can be specified with -n <PNN>.  Output also cleaned up.
 817
 818 * LVS support has been reworked - related commands and configuration
 819   variables have changed.
 820
 821   'ctdb lvsmaster' and 'ctdb lvs' have been replaced by a top level
 822   'ctdb lvs' command that has 'master', 'list' and 'status'
 823   subcommands.
 824
 825   See the LVS sections in ctdb(7) and ctdbd.conf(5) for details,
 826   including configuration changes.
 827
 828 * Improved sample NFS Ganesha call-out.
 829
 830 New shadow_copy2 options
 831 ------------------------
 832
 833 * shadow:snapprefix
 834
 835   With growing number of snapshots file-systems need some mechanism to
 836   differentiate one set of snapshots from other, e.g. monthly, weekly, manual,
 837   special events, etc. Therefore, these file-systems provide different ways to tag
 838   snapshots, e.g. provide a configurable way to name snapshots, which is not just
 839   based on time.  With only shadow:format it is very difficult to filter these
 840   snapshots. With this optional parameter, one can specify a variable prefix
 841   component for names of the snapshot directories in the file-system. If this
 842   parameter is set, together with the shadow:format and shadow:delimiter
 843   parameters it determines the possible names of snapshot directories in the
 844   file-system. The option only supports Basic Regular Expression (BRE).
 845
 846 * shadow:delimiter
 847
 848   This optional parameter is used as a delimiter between "shadow:snapprefix" and
 849   "shadow:format". This parameter is used only when "shadow:snapprefix" is set.
 850
 851   Default: shadow:delimiter = "_GMT"
 852
 853
 854 REMOVED FEATURES
 855 ================
 856
 857 "only user" and "username" parameters
 858 -------------------------------------
 859
 860 These two parameters have long been deprecated and superseded by
 861 "valid users" and "invalid users".
 862
 863
 864 smb.conf changes
 865 ================
 866
 867   Parameter Name                Description             Default
 868   --------------                -----------             -------
 869   kccsrv:samba_kcc              Changed default         yes
 870   ntlm auth                     Changed default         no
 871   only user                     Removed
 872   password hash gpg key ids     New
 873   shadow:snapprefix             New
 874   shadow:delimiter              New                     _GMT
 875   smb2 leases                   Changed default         yes
 876   username                      Removed
 877
 878
 879 KNOWN ISSUES
 880 ============
 881
 882 While a lot of schema replication bugs were fixed in this release
 883 Bug 12204 - Samba fails to replicate schema 69
 884 (https://bugzilla.samba.org/show_bug.cgi?id=12204) is still open.
 885 The replication fails if more than 133 schema objects are added
 886 at the same time.
 887
 888 More open bugs are listed at:
 889 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.5#All_bugs
 890
 891
 892 CHANGES SINCE 4.5.0rc3
 893 ======================
 894
 895 o   Björn Baumbach <bb@sernet.de>
 896     * BUG 12194: idmap_script: fix missing "IDTOSID" argument in scripts
 897       command line.
 898
 899 o   Andrew Bartlett <abartlet@samba.org>
 900     * BUG 12178: samba-tool dbcheck fails to fix replPropertyMetaData.
 901
 902 o   Ralph Boehme <slow@samba.org>
 903     * BUG 12177: Unexpected synthesized default ACL from vfs_acl_xattr.
 904     * BUG 12181: vfs_acl_common not setting filesystem permissions anymore.
 905     * BUG 12184: Loading shared RPC modules failed.
 906
 907 o   Günther Deschner <gd@samba.org>
 908     * BUG 12245: fix _spoolss_GetPrinterDataEx by moving the keyname
 909       length check.
 910
 911 o   Stefan Metzmacher <metze@samba.org>
 912     * BUG 11994: smbclient fails to connect to Azure or Apple share spnego
 913       fails with no mechListMIC.
 914
 915 o   Martin Schwenke <martin@meltin.net>
 916     * BUG 12180: CTDB crashes running eventscripts.
 917
 918
 919 CHANGES SINCE 4.5.0rc2
 920 ======================
 921
 922 o   Michael Adam <obnox@samba.org>
 923     * BUG 12155: Some idmap backends don't perform range checks for the result
 924       of sids_to_xids.
 925
 926 o   Jeremy Allison <jra@samba.org>
 927     * BUG 12115: Endless loop on drsuapi pull replication after schema changes.
 928     * BUG 12135: net ads gpo refresh can crash with null pointer deref..
 929     * BUG 12139: Race between break oplock and check for share_mode.
 930     * BUG 12150: SMB2 snapshot query fails on DFS shares..
 931     * BUG 12165: smbclient allinfo doesn't correctly return 'previous version'
 932       info over SMB1.
 933     * BUG 12166: smbclient allinfo doesn't correctly return 'previous version'
 934       info over SMB2.
 935     * BUG 12174: error: 'conn' undeclared.
 936
 937 o   Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 938     * BUG 12143: misnamed attribute in samba_kcc causes exception in unusual
 939       circumstances.
 940     * BUG 12187: Backport changes for partial attribute set calculation
 941       for 4.5.
 942
 943 o   Andrew Bartlett <abartlet@samba.org>
 944     * BUG 12107: backport backupkey tests.
 945     * BUG 12115: Endless loop on drsuapi pull replication after schema changes.
 946     * BUG 12128: Correctly resolve replicated schema changes regarding linked
 947       attributes.
 948
 949 o   Amitay Isaacs <amitay@gmail.com>
 950     * BUG 12137: Fix printf format non-liternal warnings and printf
 951       format errors.
 952     * BUG 12138: Fix uninitialized timeout in ctdb_pmda.
 953     * BUG 12151: Drop resurrected ctdb commands in new ctdb tool.
 954     * BUG 12152: Fix ctdb addip; implementation to match ctdb delip.
 955     * BUG 12163: Fix missing arguments and format elements in format strings.
 956     * BUG 12168: Fix format-nonliteral warnings.
 957
 958 o   Stefan Metzmacher <metze@samba.org>
 959     * BUG 12108: Backport selftest/autobuild fixes to v4-5-test.
 960     * BUG 12114: In memory schema updated on non schema master.
 961     * BUG 12115: Endless loop on drsuapi pull replication after schema changes.
 962     * BUG 12128: Correctly resolve replicated schema changes regarding
 963       linked attributes.
 964     * BUG 12129: let samba-tool ldapcmp ignore whenChanged.
 965
 966 o   Garming Sam <garming@catalyst.net.nz>
 967     * BUG 12187: Backport changes for partial attribute set calculation
 968       for 4.5.
 969
 970 o   Andreas Schneider <asn@samba.org>
 971     * BUG 12175: smbget always prompts for a username.
 972
 973 o   Christof Schmitt <cs@samba.org>
 974     * BUG 12150: SMB2 snapshot query fails on DFS shares..
 975
 976 o   Martin Schwenke <martin@meltin.net>
 977     * BUG 12157: Coverity and related fixes.
 978     * BUG 12158: CTDB release IP fixes.
 979     * BUG 12161: Fix CTDB cumulative takeover timeout.
 980     * BUG 12170: CTDB test runs can kill each other's ctdbd daemons.
 981
 982 o   Uri Simchoni <uri@samba.org>
 983     * BUG 12145: smbd: if inherit owner is enabled, the free disk on a folder
 984       should take the owner's quota into account.
 985     * BUG 12149: smbd: cannot load a Windows device driver from a Samba share
 986       via SMB2.
 987     * BUG 12172: a snapshot folder cannot be accessed via SMB1.
 988
 989
 990 CHANGES SINCE 4.5.0rc1
 991 ======================
 992
 993 o   Ralph Boehme <slow@samba.org>
 994     * BUG 12005: parse_share_modes() chokes on ctdb tombstone record from ltdb.
 995     * BUG 12105: smbclient connection to not reachable IP eats 100% CPU.
 996
 997 o   Ira Cooper <ira@samba.org>
 998     * BUG 12133: source3/wscript: Add support for disabling vfs_cephfs.
 999
1000 o   Amitay Isaacs <amitay@gmail.com>
1001     * BUG 12121: ctdb-tools: Fix numerous Coverity IDs and other issues.
1002     * BUG 12122: If a transaction fails, it should be canceled and transaction
1003       handle should be freed.
1004     * BUG 12134: dbwrap: Fix structure initialization.
1005
1006 o   Marc Muehlfeld <mmuehlfeld@samba.org>
1007     * BUG 12023: man: Fix wrong option for parameter "ldap ssl" in smb.conf
1008       man page.
1009
1010 o   Andreas Schneider <asn@samba.org>
1011     * BUG 12104: ctdb-waf: Move ctdb tests to libexec directory.
1012
1013 o   Martin Schwenke <martin@meltin.net>
1014     * BUG 12104: ctdb-packaging: Move ctdb tests to libexec directory.
1015     * BUG 12109: Fixes several CTDB tests.
1016     * BUG 12110: Fix numerous Coverity IDs.
1017     * BUG 12113: ctdb-mutex: Avoid corner case where helper is already
1018       reparented to init.
1019     * BUG 12123: Fix ctdb tickle command and update documentation.
1020     * BUG 12125: CTDB overwrites working configuration due to packaging
1021       change.
1022     * BUG 12126: Fix broken CTDB log messages.
1023
1024
1025 #######################################
1026 Reporting bugs & Development Discussion
1027 #######################################
1028
1029 Please discuss this release on the samba-technical mailing list or by
1030 joining the #samba-technical IRC channel on irc.freenode.net.
1031
1032 If you do report problems then please try to send high quality
1033 feedback. If you don't provide vital information to help us track down
1034 the problem then you will probably be ignored.  All bug reports should
1035 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1036 database (https://bugzilla.samba.org/).
1037
1038
1039 ======================================================================
1040 == Our Code, Our Bugs, Our Responsibility.
1041 == The Samba Team
1042 ======================================================================
1043