WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.19.5
   3                          February 19, 2024
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.19 release series.
   8
   9
  10 Changes since 4.19.4
  11 --------------------
  12
  13 o  Ralph Boehme <slow@samba.org>
  14    * BUG 13688: Windows 2016 fails to restore previous version of a file from a
  15      shadow_copy2 snapshot.
  16    * BUG 15549: Symlinks on AIX are broken in 4.19 (and a few version before
  17      that).
  18
  19 o  Bjoern Jacke <bj@sernet.de>
  20    * BUG 12421: Fake directory create times has no effect.
  21
  22 o  Björn Jacke <bjacke@samba.org>
  23    * BUG 15550: ctime mixed up with mtime by smbd.
  24
  25 o  David Mulder <dmulder@samba.org>
  26    * BUG 15548: samba-gpupdate --rsop fails if machine is not in a site.
  27
  28 o  Gabriel Nagy <gabriel.nagy@canonical.com>
  29    * BUG 15557: gpupdate: The root cert import when NDES is not available is
  30      broken.
  31
  32 o  Andreas Schneider <asn@samba.org>
  33    * BUG 15552: samba-gpupdate should print a useful message if cepces-submit
  34      can't be found.
  35    * BUG 15558: samba-gpupdate logging doesn't work.
  36
  37 o  Jones Syue <jonessyue@qnap.com>
  38    * BUG 15555: smbpasswd reset permissions only if not 0600.
  39
  40
  41 #######################################
  42 Reporting bugs & Development Discussion
  43 #######################################
  44
  45 Please discuss this release on the samba-technical mailing list or by
  46 joining the #samba-technical:matrix.org matrix room, or
  47 #samba-technical IRC channel on irc.libera.chat.
  48
  49 If you do report problems then please try to send high quality
  50 feedback. If you don't provide vital information to help us track down
  51 the problem then you will probably be ignored.  All bug reports should
  52 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  53 database (https://bugzilla.samba.org/).
  54
  55
  56 ======================================================================
  57 == Our Code, Our Bugs, Our Responsibility.
  58 == The Samba Team
  59 ======================================================================
  60
  61
  62 Release notes for older releases follow:
  63 ----------------------------------------
  64                    ==============================
  65                    Release Notes for Samba 4.19.4
  66                           January 08, 2024
  67                    ==============================
  68
  69
  70 This is the latest stable release of the Samba 4.19 release series.
  71
  72
  73 Changes since 4.19.3
  74 --------------------
  75
  76 o  Samuel Cabrero <scabrero@samba.org>
  77    * BUG 13577: net changesecretpw cannot set the machine account password if
  78      secrets.tdb is empty.
  79
  80 o  Björn Jacke <bjacke@samba.org>
  81    * BUG 15540: For generating doc, take, if defined, env XML_CATALOG_FILES.
  82    * BUG 15541: Trivial C typo in nsswitch/winbind_nss_netbsd.c.
  83    * BUG 15542: vfs_linux_xfs is incorrectly named.
  84
  85 o  Björn Jacke <bj@sernet.de>
  86    * BUG 15377: systemd stumbled over copyright-message at smbd startup.
  87
  88 o  Volker Lendecke <vl@samba.org>
  89    * BUG 15505: Following intermediate abolute share-local symlinks is broken.
  90    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
  91      a non-public address disconnects first.
  92    * BUG 15544: shadow_copy2 broken when current fileset's directories are
  93      removed.
  94
  95 o  Stefan Metzmacher <metze@samba.org>
  96    * BUG 15377: systemd stumbled over copyright-message at smbd startup.
  97    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
  98      a non-public address disconnects first.
  99    * BUG 15534: smbd does not detect ctdb public ipv6 addresses for multichannel
 100      exclusion.
 101
 102 o  Andreas Schneider <asn@samba.org>
 103    * BUG 15469: 'force user = localunixuser' doesn't work if 'allow trusted
 104      domains = no' is set.
 105    * BUG 15525: smbget debug logging doesn't work.
 106    * BUG 15532: smget: username in the smburl and interactive password entry
 107      doesn't work.
 108    * BUG 15538: smbget auth function doesn't set values for password prompt
 109      correctly.
 110
 111 o  Martin Schwenke <mschwenke@ddn.com>
 112    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
 113      a non-public address disconnects first.
 114
 115 o  Shachar Sharon <ssharon@redhat.com>
 116    * BUG 15440: Unable to copy and write files from clients to Ceph cluster via
 117      SMB Linux gateway with Ceph VFS module.
 118
 119 o  Jones Syue <jonessyue@qnap.com>
 120    * BUG 15547: Multichannel refresh network information.
 121
 122
 123 #######################################
 124 Reporting bugs & Development Discussion
 125 #######################################
 126
 127 Please discuss this release on the samba-technical mailing list or by
 128 joining the #samba-technical:matrix.org matrix room, or
 129 #samba-technical IRC channel on irc.libera.chat.
 130
 131 If you do report problems then please try to send high quality
 132 feedback. If you don't provide vital information to help us track down
 133 the problem then you will probably be ignored.  All bug reports should
 134 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 135 database (https://bugzilla.samba.org/).
 136
 137
 138 ======================================================================
 139 == Our Code, Our Bugs, Our Responsibility.
 140 == The Samba Team
 141 ======================================================================
 142
 143
 144 ----------------------------------------------------------------------
 145                    ==============================
 146                    Release Notes for Samba 4.19.3
 147                          November 27, 2023
 148                    ==============================
 149
 150
 151 This is the latest stable release of the Samba 4.19 release series.
 152 It contains the security-relevant bugfix CVE-2018-14628:
 153
 154     Wrong ntSecurityDescriptor values for "CN=Deleted Objects"
 155     allow read of object tombstones over LDAP
 156     (Administrator action required!)
 157     https://www.samba.org/samba/security/CVE-2018-14628.html
 158
 159
 160 Description of CVE-2018-14628
 161 -----------------------------
 162
 163 All versions of Samba from 4.0.0 onwards are vulnerable to an
 164 information leak (compared with the established behaviour of
 165 Microsoft's Active Directory) when Samba is an Active Directory Domain
 166 Controller.
 167
 168 When a domain was provisioned with an unpatched Samba version,
 169 the ntSecurityDescriptor is simply inherited from Domain/Partition-HEAD-Object
 170 instead of being very strict (as on a Windows provisioned domain).
 171
 172 This means also non privileged users can use the
 173 LDAP_SERVER_SHOW_DELETED_OID control in order to view,
 174 the names and preserved attributes of deleted objects.
 175
 176 No information that was hidden before the deletion is visible, but in
 177 with the correct ntSecurityDescriptor value in place the whole object
 178 is also not visible without administrative rights.
 179
 180 There is no further vulnerability associated with this error, merely an
 181 information disclosure.
 182
 183 Action required in order to resolve CVE-2018-14628!
 184 ---------------------------------------------------
 185
 186 The patched Samba does NOT protect existing domains!
 187
 188 The administrator needs to run the following command
 189 (on only one domain controller)
 190 in order to apply the protection to an existing domain:
 191
 192   samba-tool dbcheck --cross-ncs --attrs=nTSecurityDescriptor --fix
 193
 194 The above requires manual interaction in order to review the
 195 changes before they are applied. Typicall question look like this:
 196
 197   Reset nTSecurityDescriptor on CN=Deleted Objects,DC=samba,DC=org back to provision default?
 198         Owner mismatch: SY (in ref) DA(in current)
 199         Group mismatch: SY (in ref) DA(in current)
 200         Part dacl is different between reference and current here is the detail:
 201                 (A;;LCRPLORC;;;AU) ACE is not present in the reference
 202                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY) ACE is not present in the reference
 203                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;DA) ACE is not present in the reference
 204                 (A;;CCDCLCSWRPWPSDRCWDWO;;;SY) ACE is not present in the current
 205                 (A;;LCRP;;;BA) ACE is not present in the current
 206    [y/N/all/none] y
 207   Fixed attribute 'nTSecurityDescriptor' of 'CN=Deleted Objects,DC=samba,DC=org'
 208
 209 The change should be confirmed with 'y' for all objects starting with
 210 'CN=Deleted Objects'.
 211
 212
 213 Changes since 4.19.2
 214 --------------------
 215
 216 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 217    * BUG 15520: sid_strings test broken by unix epoch > 1700000000.
 218
 219 o  Ralph Boehme <slow@samba.org>
 220    * BUG 15487: smbd crashes if asked to return full information on close of a
 221      stream handle with delete on close disposition set.
 222    * BUG 15521: smbd: fix close order of base_fsp and stream_fsp in
 223      smb_fname_fsp_destructor().
 224
 225 o  Pavel Filipenský <pfilipensky@samba.org>
 226    * BUG 15499: Improve logging for failover scenarios.
 227
 228 o  Björn Jacke <bj@sernet.de>
 229    * BUG 15093: Files without "read attributes" NFS4 ACL permission are not
 230      listed in directories.
 231
 232 o  Stefan Metzmacher <metze@samba.org>
 233    * BUG 13595: CVE-2018-14628 [SECURITY] Deleted Object tombstones visible in
 234      AD LDAP to normal users.
 235    * BUG 15492: Kerberos TGS-REQ with User2User does not work for normal
 236      accounts.
 237
 238 o  Christof Schmitt <cs@samba.org>
 239    * BUG 15507: vfs_gpfs stat calls fail due to file system permissions.
 240
 241 o  Andreas Schneider <asn@samba.org>
 242    * BUG 15513: Samba doesn't build with Python 3.12.
 243
 244
 245 #######################################
 246 Reporting bugs & Development Discussion
 247 #######################################
 248
 249 Please discuss this release on the samba-technical mailing list or by
 250 joining the #samba-technical:matrix.org matrix room, or
 251 #samba-technical IRC channel on irc.libera.chat.
 252
 253 If you do report problems then please try to send high quality
 254 feedback. If you don't provide vital information to help us track down
 255 the problem then you will probably be ignored.  All bug reports should
 256 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 257 database (https://bugzilla.samba.org/).
 258
 259
 260 ======================================================================
 261 == Our Code, Our Bugs, Our Responsibility.
 262 == The Samba Team
 263 ======================================================================
 264
 265
 266 ----------------------------------------------------------------------
 267                    ==============================
 268                    Release Notes for Samba 4.19.2
 269                           October 16, 2023
 270                    ==============================
 271
 272
 273 This is the latest stable release of the Samba 4.19 release series.
 274
 275
 276 Changes since 4.19.1
 277 --------------------
 278
 279 o  Jeremy Allison <jra@samba.org>
 280    * BUG 15423: Use-after-free in aio_del_req_from_fsp during smbd shutdown
 281      after failed IPC FSCTL_PIPE_TRANSCEIVE.
 282    * BUG 15426: clidfs.c do_connect() missing a "return" after a cli_shutdown()
 283      call.
 284
 285 o  Ralph Boehme <slow@samba.org>
 286    * BUG 15463: macOS mdfind returns only 50 results.
 287
 288 o  Volker Lendecke <vl@samba.org>
 289    * BUG 15481: GETREALFILENAME_CACHE can modify incoming new filename with
 290      previous cache entry value.
 291
 292 o  Stefan Metzmacher <metze@samba.org>
 293    * BUG 15464: libnss_winbind causes memory corruption since samba-4.18,
 294      impacts sendmail, zabbix, potentially more.
 295
 296 o  Martin Schwenke <mschwenke@ddn.com>
 297    * BUG 15479: ctdbd: setproctitle not initialized messages flooding logs.
 298
 299 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 300    * BUG 15491: CVE-2023-5568 Heap buffer overflow with freshness tokens in the
 301      Heimdal KDC in Samba 4.19
 302    * BUG 15477: The heimdal KDC doesn't detect s4u2self correctly when fast is
 303      in use.
 304
 305
 306 #######################################
 307 Reporting bugs & Development Discussion
 308 #######################################
 309
 310 Please discuss this release on the samba-technical mailing list or by
 311 joining the #samba-technical:matrix.org matrix room, or
 312 #samba-technical IRC channel on irc.libera.chat.
 313
 314 If you do report problems then please try to send high quality
 315 feedback. If you don't provide vital information to help us track down
 316 the problem then you will probably be ignored.  All bug reports should
 317 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 318 database (https://bugzilla.samba.org/).
 319
 320
 321 ======================================================================
 322 == Our Code, Our Bugs, Our Responsibility.
 323 == The Samba Team
 324 ======================================================================
 325
 326
 327 ----------------------------------------------------------------------
 328                    ==============================
 329                    Release Notes for Samba 4.19.1
 330                           October 10, 2023
 331                    ==============================
 332
 333
 334 This is a security release in order to address the following defects:
 335
 336
 337 o CVE-2023-3961:  Unsanitized pipe names allow SMB clients to connect as root to
 338                   existing unix domain sockets on the file system.
 339                   https://www.samba.org/samba/security/CVE-2023-3961.html
 340
 341 o CVE-2023-4091:  SMB client can truncate files to 0 bytes by opening files with
 342                   OVERWRITE disposition when using the acl_xattr Samba VFS
 343                   module with the smb.conf setting
 344                   "acl_xattr:ignore system acls = yes"
 345                   https://www.samba.org/samba/security/CVE-2023-4091.html
 346
 347 o CVE-2023-4154:  An RODC and a user with the GET_CHANGES right can view all
 348                   attributes, including secrets and passwords.  Additionally,
 349                   the access check fails open on error conditions.
 350                   https://www.samba.org/samba/security/CVE-2023-4154.html
 351
 352 o CVE-2023-42669: Calls to the rpcecho server on the AD DC can request that the
 353                   server block for a user-defined amount of time, denying
 354                   service.
 355                   https://www.samba.org/samba/security/CVE-2023-42669.html
 356
 357 o CVE-2023-42670: Samba can be made to start multiple incompatible RPC
 358                   listeners, disrupting service on the AD DC.
 359                   https://www.samba.org/samba/security/CVE-2023-42670.html
 360
 361
 362 Changes since 4.19.0
 363 --------------------
 364
 365 o  Jeremy Allison <jra@samba.org>
 366    * BUG 15422: CVE-2023-3961.
 367
 368 o  Andrew Bartlett <abartlet@samba.org>
 369    * BUG 15424: CVE-2023-4154.
 370    * BUG 15473: CVE-2023-42670.
 371    * BUG 15474: CVE-2023-42669.
 372
 373 o  Ralph Boehme <slow@samba.org>
 374    * BUG 15439: CVE-2023-4091.
 375
 376
 377 #######################################
 378 Reporting bugs & Development Discussion
 379 #######################################
 380
 381 Please discuss this release on the samba-technical mailing list or by
 382 joining the #samba-technical:matrix.org matrix room, or
 383 #samba-technical IRC channel on irc.libera.chat.
 384
 385 If you do report problems then please try to send high quality
 386 feedback. If you don't provide vital information to help us track down
 387 the problem then you will probably be ignored.  All bug reports should
 388 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 389 database (https://bugzilla.samba.org/).
 390
 391
 392 ======================================================================
 393 == Our Code, Our Bugs, Our Responsibility.
 394 == The Samba Team
 395 ======================================================================
 396
 397
 398 ----------------------------------------------------------------------
 399                    ==============================
 400                    Release Notes for Samba 4.19.0
 401                          September 04, 2023
 402                    ==============================
 403
 404 This is the first stable release of the Samba 4.19 release series.
 405 Please read the release notes carefully before upgrading.
 406
 407 NEW FEATURES/CHANGES
 408 ====================
 409
 410 Migrated smbget to use common command line parser
 411 -------------------------------------------------
 412
 413 The smbget utility implemented its own command line parsing logic. After
 414 discovering an issue we decided to migrate it to use the common command line
 415 parser. This has some advantages as you get all the feature it provides like
 416 Kerberos authentication. The downside is that breaks the options interface.
 417 The support for smbgetrc has been removed. You can use an authentication file
 418 if needed, this is documented in the manpage.
 419
 420 Please check the smbget manpage or --help output.
 421
 422 gpupdate changes
 423 ----------------
 424
 425 The libgpo.get_gpo_list function has been deprecated in favor of
 426 an implementation written in python. The new function can be imported via
 427 `import samba.gp`. The python implementation connects to Active Directory
 428 using the SamDB module, instead of ADS (which is what libgpo uses).
 429
 430 Improved winbind logging and a new tool for parsing the winbind logs
 431 --------------------------------------------------------------------
 432
 433 Winbind logs (if smb.conf 'winbind debug traceid = yes' is set) contain new
 434 trace header fields 'traceid' and 'depth'.  Field 'traceid' allows to track the
 435 trace records belonging to the same request.  Field 'depth' allows to track the
 436 request nesting level. A new tool samba-log-parser is added for better log
 437 parsing.
 438
 439 AD database prepared to FL 2016 standards for new domains
 440 ---------------------------------------------------------
 441
 442 While Samba still provides only Functional Level 2008R2 by default,
 443 Samba as an AD DC will now, in provision ensure that the blank
 444 database is already prepared for Functional Level 2016, with AD Schema
 445 2019.
 446
 447 This preparation is of the default objects in the database, adding
 448 containers for Authentication Policies, Authentication Silos and AD
 449 claims in particular.  These DB objects must be updated to allow
 450 operation of the new features found in higher functional levels.
 451
 452 Kerberos Claims, Authentication Silos and NTLM authentication policies
 453 ----------------------------------------------------------------------
 454
 455 An initial, partial implementation of Active Directory Functional
 456 Level 2012, 2012R2 and 2016 is available in this release.
 457
 458 In particular Samba will issue Active Directory "Claims" in the PAC,
 459 for member servers that support these, and honour in-directory
 460 configuration for Authentication Policies and Authentication Silos.
 461
 462 The primary limitation is that while Samba can read and write claims
 463 in the directory, and populate the PAC, Samba does not yet use them
 464 for access control decisions.
 465
 466 While we continue to develop these features, existing domains can
 467 test the feature by selecting the functional level in provision or
 468 raising the DC functional level by setting
 469
 470  ad dc functional level = 2016
 471
 472 in the smb.conf
 473
 474 The smb.conf file on each DC must have 'ad dc functional level = 2016'
 475 set to have the partially complete feature available.  This will also,
 476 at first startup, update the server's own AD entry with the configured
 477 functional level.
 478
 479 For new domains, add these parameters to 'samba-tool provision'
 480
 481 --option="ad dc functional level = 2016" --function-level=2016
 482
 483 The second option, setting the overall domain functional level
 484 indicates that all DCs should be at this functional level.
 485
 486 To raise the domain functional level of an existing domain, after
 487 updating the smb.conf and restarting Samba run
 488 samba-tool domain schemaupgrade --schema=2019
 489 samba-tool domain functionalprep --function-level=2016
 490 samba-tool domain level raise --domain-level=2016 --forest-level=2016
 491
 492 Improved KDC Auditing
 493 ---------------------
 494
 495 As part of the auditing required to allow successful deployment of
 496 Authentication Policies and Authentication Silos, our KDC now provides
 497 Samba-style JSON audit logging of all issued Kerberos tickets,
 498 including if they would fail a policy that is not yet enforced.
 499 Additionally most failures are audited, (after the initial
 500 pre-validation of the request).
 501
 502 Kerberos Armoring (FAST) Support for Windows clients
 503 ----------------------------------------------------
 504
 505 In domains where the domain controller functional level is set, as
 506 above, to 2012, 2012_R2 or 2016, Windows clients will, if configured
 507 via GPO, use FAST to protect user passwords between (in particular) a
 508 workstation and the KDC on the AD DC.  This is a significant security
 509 improvement, as weak passwords in an AS-REQ are no longer available
 510 for offline attack.
 511
 512 Claims compression in the AD PAC
 513 --------------------------------
 514
 515 Samba as an AD DC will compress "AD claims" using the same compression
 516 algorithm as Microsoft Windows.
 517
 518 Resource SID compression in the AD PAC
 519 --------------------------------------
 520
 521 Samba as an AD DC will now correctly populate the various PAC group
 522 membership buffers, splitting global and local groups correctly.
 523
 524 Additionally, Samba marshals Resource SIDs, being local groups in the
 525 member server's own domain, to only consume a header and 4 bytes per
 526 group in the PAC, not a full-length SID worth of space each.  This is
 527 known as "Resource SID compression".
 528
 529 Resource Based Constrained Delegation (RBCD) support in both MIT and Heimdal
 530 -----------------------------------------------------------------------------
 531
 532 Samba AD DC built with MIT Kerberos (1.20 and later) has offered RBCD
 533 support since Samba 4.17.  Samba 4.19 brings this feature to the
 534 default Heimdal KDC.
 535
 536 Samba 4.17 added to samba-tool delegation the 'add-principal' and
 537 'del-principal' subcommands in order to manage RBCD, and the database
 538 changes made by these tools are now honoured by the Heimdal KDC once
 539 Samba is upgraded.
 540
 541 Likewise, now both MIT (1.20 and later) and Heimdal KDCs add the
 542 Asserted Identity [1] SID into the PAC for constrained delegation.
 543
 544 [1] https://docs.microsoft.com/en-us/windows-server/security/kerberos/kerberos-constrained-delegation-overview
 545
 546 New samba-tool support for silos, claims, sites and subnets.
 547 ------------------------------------------------------------
 548
 549 samba-tool can now list, show, add and manipulate Authentication Silos
 550 (silos) and Active Directory Authentication Claims (claims).
 551
 552 samba-tool can now list and show Active Directory sites and subnets.
 553
 554 A new Object Relational Model (ORM) based architecture, similar to
 555 that used with Django, has been built to make adding new samba-tool
 556 subcommands simpler and more consistent, with JSON output available
 557 standard on these new commands.
 558
 559 Updated GnuTLS requirement / in-tree cryptography removal
 560 ----------------------------------------------------------
 561
 562 Samba requires GnuTLS 3.6.13 and prefers GnuTLS 3.6.14 or later.
 563
 564 This has allowed Samba to remove all of our in-tree cryptography,
 565 except that found in our Heimdal import.  Samba's runtime cryptography
 566 needs are now all provided by GnuTLS.
 567
 568 (The GnuTLS vesion requirement is raised to 3.7.2 on systems without
 569 the Linux getrandom())
 570
 571 We also use Python's cryptography module for our testing.
 572
 573 The use of well known cryptography libraries makes Samba easier for
 574 end-users to validate and deploy, and for distributors to ship.  This
 575 is the end of a very long journey for Samba.
 576
 577 Updated Heimdal import
 578 ----------------------
 579
 580 Samba's Heimdal branch (known as lorikeet-heimdal) has been updated to
 581 the current pre-8.0 (master) tree from upstream Heimdal, ensuring that
 582 this vendored copy, included in our release remains as close as
 583 possible to the current upstream code.
 584
 585 Revocation support in Heimdal KDC for PKINIT certificates
 586 ---------------------------------------------------------
 587
 588 Samba will now correctly honour the revocation of 'smart card'
 589 certificates used for PKINIT Kerberos authentication.
 590
 591 This list is reloaded each time the file changes, so no further action
 592 other than replacing the file is required.  The additional krb5.conf
 593 option is:
 594
 595  [kdc]
 596         pkinit_revoke = FILE:/path/to/crl.pem
 597
 598 Information on the "Smart Card login" feature as a whole is at:
 599  https://wiki.samba.org/index.php/Samba_AD_Smart_Card_Login
 600
 601 Protocol level testsuite for (Smart Card Logon) PKINIT
 602 ------------------------------------------------------
 603
 604 Previously Samba's PKINIT support in the KDC was tested by use of
 605 shell scripts around the client tools of MIT or Heimdal Kerberos.
 606 Samba's independently written python testsuite has been extended to
 607 validate KDC behaviour for PKINIT.
 608
 609 Require encrypted connection to modify unicodePwd on the AD DC
 610 --------------------------------------------------------------
 611
 612 Setting the password on an AD account on should never be attempted
 613 over a plaintext or signed-only LDAP connection.  If the unicodePwd
 614 (or userPassword) attribute is modified without encryption (as seen by
 615 Samba), the request will be rejected.  This is to encourage the
 616 administrator to use an encrypted connection in the future.
 617
 618 NOTE WELL: If Samba is accessed via a TLS frontend or load balancer,
 619 the LDAP request will be regarded as plaintext.
 620
 621 Samba AD TLS Certificates can be reloaded
 622 -----------------------------------------
 623
 624 The TLS certificates used for Samba's AD DC LDAP server were
 625 previously only read on startup, and this meant that when then expired
 626 it was required to restart Samba, disrupting service to other users.
 627
 628  smbcontrol ldap_server reload-certs
 629
 630 This will now allow these certificates to be reloaded 'on the fly'
 631
 632 ================
 633 REMOVED FEATURES
 634 ================
 635
 636
 637 smb.conf changes
 638 ================
 639
 640   Parameter Name                          Description     Default
 641   --------------                          -----------     -------
 642   winbind debug traceid                   Add traceid     No
 643   directory name cache size               Removed
 644
 645
 646 CHANGES SINCE 4.19.0rc4
 647 =======================
 648
 649 o  MikeLiu <mikeliu@qnap.com>
 650    * BUG 15453: File doesn't show when user doesn't have permission if
 651      aio_pthread is loaded.
 652
 653 o  Martin Schwenke <mschwenke@ddn.com>
 654    * BUG 15451: ctdb_killtcp fails to work with --enable-pcap and libpcap ≥
 655      1.9.1.
 656
 657
 658 CHANGES SINCE 4.19.0rc3
 659 =======================
 660
 661 o  Martin Schwenke <mschwenke@ddn.com>
 662    * BUG 15460: Logging to stdout/stderr with DEBUG_SYSLOG_FORMAT_ALWAYS can log
 663      to syslog.
 664
 665 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 666    * BUG 15458: ‘samba-tool domain level raise’ fails unless given a URL.
 667
 668
 669 CHANGES SINCE 4.19.0rc2
 670 =======================
 671
 672 o  Jeremy Allison <jra@samba.org>
 673    * BUG 15420: reply_sesssetup_and_X() can dereference uninitialized tmp
 674      pointer.
 675    * BUG 15430: missing return in reply_exit_done().
 676    * BUG 15432: TREE_CONNECT without SETUP causes smbd to use uninitialized
 677      pointer.
 678
 679 o  Andrew Bartlett <abartlet@samba.org>
 680    * BUG 15401: Avoid infinite loop in initial user sync with Azure AD Connect
 681      when synchronising a large Samba AD domain.
 682    * BUG 15407: Samba replication logs show (null) DN.
 683
 684 o  Stefan Metzmacher <metze@samba.org>
 685    * BUG 15346: 2-3min delays at reconnect with smb2_validate_sequence_number:
 686      bad message_id 2.
 687    * BUG 15446: DCERPC_PKT_CO_CANCEL and DCERPC_PKT_ORPHANED can't be parsed.
 688
 689 o  Martin Schwenke <mschwenke@ddn.com>
 690    * BUG 15438: CID 1539212 causes real issue when output contains only
 691      newlines.
 692
 693 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 694    * BUG 15452: KDC encodes INT64 claims incorrectly.
 695
 696 o  Jones Syue <jonessyue@qnap.com>
 697    * BUG 15449: mdssvc: Do an early talloc_free() in _mdssvc_open().
 698
 699
 700 CHANGES SINCE 4.19.0rc1
 701 =======================
 702
 703 o  Andrew Bartlett <abartlet@samba.org>
 704    * BUG 9959: Windows client join fails if a second container CN=System exists
 705     somewhere.
 706
 707 o  Noel Power <noel.power@suse.com>
 708    * BUG 15435: regression DFS not working with widelinks = true.
 709
 710 o  Arvid Requate <requate@univention.de>
 711    * BUG 9959: Windows client join fails if a second container CN=System exists
 712     somewhere.
 713
 714 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 715    * BUG 15443: Heimdal fails to build on 32-bit FreeBSD.
 716
 717 o  Jones Syue <jonessyue@qnap.com>
 718    * BUG 15441: samba-tool ntacl get segfault if aio_pthread appended.
 719
 720
 721 KNOWN ISSUES
 722 ============
 723
 724 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.19#Release_blocking_bugs
 725
 726
 727 #######################################
 728 Reporting bugs & Development Discussion
 729 #######################################
 730
 731 Please discuss this release on the samba-technical mailing list or by
 732 joining the #samba-technical:matrix.org matrix room, or
 733 #samba-technical IRC channel on irc.libera.chat
 734
 735 If you do report problems then please try to send high quality
 736 feedback. If you don't provide vital information to help us track down
 737 the problem then you will probably be ignored.  All bug reports should
 738 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 739 database (https://bugzilla.samba.org/).
 740
 741
 742 ======================================================================
 743 == Our Code, Our Bugs, Our Responsibility.
 744 == The Samba Team
 745 ======================================================================
 746