WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.13.9
   3                             May 11, 2021
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.13 release series.
   8
   9
  10 Changes since 4.13.8
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 14696: s3: smbd: SMB1 SMBsplwr doesn't send a reply packet on success.
  15
  16 o  Andrew Bartlett <abartlet@samba.org>
  17    * BUG 14689: Add documentation for dsdb_group_audit and dsdb_group_json_audit
  18      to "log level", synchronise "log level" in smb.conf with the code.
  19
  20 o  Ralph Boehme <slow@samba.org>
  21    * BUG 14672: Fix smbd panic when two clients open same file.
  22    * BUG 14675: Fix memory leak in the RPC server.
  23    * BUG 14679: s3: smbd: Fix deferred renames.
  24
  25 o  Samuel Cabrero <scabrero@samba.org>
  26    * BUG 14675: s3-iremotewinspool: Set the per-request memory context.
  27
  28 o  Volker Lendecke <vl@samba.org>
  29    * BUG 14675: rpc_server3: Fix a memleak for internal pipes.
  30
  31 o  Stefan Metzmacher <metze@samba.org>
  32    * BUG 11899: third_party: Update socket_wrapper to version 1.3.2.
  33    * BUG 14640: third_party: Update socket_wrapper to version 1.3.3.
  34
  35
  36 o  Christof Schmitt <cs@samba.org>
  37    * BUG 14663: idmap_rfc2307 and idmap_nss return wrong mapping for uid/gid
  38      conflict.
  39
  40 o  Martin Schwenke <martin@meltin.net
  41    * BUG 14288: Fix the build on OmniOS.
  42
  43
  44 #######################################
  45 Reporting bugs & Development Discussion
  46 #######################################
  47
  48 Please discuss this release on the samba-technical mailing list or by
  49 joining the #samba-technical IRC channel on irc.freenode.net.
  50
  51 If you do report problems then please try to send high quality
  52 feedback. If you don't provide vital information to help us track down
  53 the problem then you will probably be ignored.  All bug reports should
  54 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  55 database (https://bugzilla.samba.org/).
  56
  57
  58 ======================================================================
  59 == Our Code, Our Bugs, Our Responsibility.
  60 == The Samba Team
  61 ======================================================================
  62
  63
  64 Release notes for older releases follow:
  65 ----------------------------------------
  66
  67
  68                    ==============================
  69                    Release Notes for Samba 4.13.8
  70                            April 29, 2021
  71                    ==============================
  72
  73
  74 This is a security release in order to address the following defect:
  75
  76 o CVE-2021-20254: Negative idmap cache entries can cause incorrect group entries
  77   in the Samba file server process token.
  78
  79
  80 =======
  81 Details
  82 =======
  83
  84 o  CVE-2021-20254:
  85    The Samba smbd file server must map Windows group identities (SIDs) into unix
  86    group ids (gids). The code that performs this had a flaw that could allow it
  87    to read data beyond the end of the array in the case where a negative cache
  88    entry had been added to the mapping cache. This could cause the calling code
  89    to return those values into the process token that stores the group
  90    membership for a user.
  91
  92    Most commonly this flaw caused the calling code to crash, but an alert user
  93    (Peter Eriksson, IT Department, Linköping University) found this flaw by
  94    noticing an unprivileged user was able to delete a file within a network
  95    share that they should have been disallowed access to.
  96
  97    Analysis of the code paths has not allowed us to discover a way for a
  98    remote user to be able to trigger this flaw reproducibly or on demand,
  99    but this CVE has been issued out of an abundance of caution.
 100
 101
 102 Changes since 4.13.7
 103 --------------------
 104
 105 o  Volker Lendecke <vl@samba.org>
 106    * BUG 14571: CVE-2021-20254: Fix buffer overrun in sids_to_unixids().
 107
 108
 109 #######################################
 110 Reporting bugs & Development Discussion
 111 #######################################
 112
 113 Please discuss this release on the samba-technical mailing list or by
 114 joining the #samba-technical IRC channel on irc.freenode.net.
 115
 116 If you do report problems then please try to send high quality
 117 feedback. If you don't provide vital information to help us track down
 118 the problem then you will probably be ignored.  All bug reports should
 119 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 120 database (https://bugzilla.samba.org/).
 121
 122
 123 ======================================================================
 124 == Our Code, Our Bugs, Our Responsibility.
 125 == The Samba Team
 126 ======================================================================
 127
 128
 129 ----------------------------------------------------------------------
 130
 131
 132                    ==============================
 133                    Release Notes for Samba 4.13.7
 134                            March 24, 2021
 135                    ==============================
 136
 137
 138 This is a follow-up release to depend on the correct ldb version. This is only
 139 needed when building against a system ldb library.
 140
 141 This is a security release in order to address the following defects:
 142
 143 o CVE-2020-27840: Heap corruption via crafted DN strings.
 144 o CVE-2021-20277: Out of bounds read in AD DC LDAP server.
 145
 146
 147 =======
 148 Details
 149 =======
 150
 151 o  CVE-2020-27840:
 152    An anonymous attacker can crash the Samba AD DC LDAP server by sending easily
 153    crafted DNs as part of a bind request. More serious heap corruption is likely
 154    also possible.
 155
 156 o  CVE-2021-20277:
 157    User-controlled LDAP filter strings against the AD DC LDAP server may crash
 158    the LDAP server.
 159
 160 For more details, please refer to the security advisories.
 161
 162
 163 Changes since 4.13.6
 164 --------------------
 165
 166 o  Release with dependency on ldb version 2.2.1.
 167
 168
 169 #######################################
 170 Reporting bugs & Development Discussion
 171 #######################################
 172
 173 Please discuss this release on the samba-technical mailing list or by
 174 joining the #samba-technical IRC channel on irc.freenode.net.
 175
 176 If you do report problems then please try to send high quality
 177 feedback. If you don't provide vital information to help us track down
 178 the problem then you will probably be ignored.  All bug reports should
 179 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 180 database (https://bugzilla.samba.org/).
 181
 182
 183 ======================================================================
 184 == Our Code, Our Bugs, Our Responsibility.
 185 == The Samba Team
 186 ======================================================================
 187
 188
 189 ----------------------------------------------------------------------
 190
 191
 192                    ==============================
 193                    Release Notes for Samba 4.13.6
 194                            March 24, 2021
 195                    ==============================
 196
 197
 198 This is a security release in order to address the following defects:
 199
 200 o CVE-2020-27840: Heap corruption via crafted DN strings.
 201 o CVE-2021-20277: Out of bounds read in AD DC LDAP server.
 202
 203
 204 =======
 205 Details
 206 =======
 207
 208 o  CVE-2020-27840:
 209    An anonymous attacker can crash the Samba AD DC LDAP server by sending easily
 210    crafted DNs as part of a bind request. More serious heap corruption is likely
 211    also possible.
 212
 213 o  CVE-2021-20277:
 214    User-controlled LDAP filter strings against the AD DC LDAP server may crash
 215    the LDAP server.
 216
 217 For more details, please refer to the security advisories.
 218
 219
 220 Changes since 4.13.5
 221 --------------------
 222
 223 o  Andrew Bartlett <abartlet@samba.org>
 224    * BUG 14655: CVE-2021-20277: Fix out of bounds read in ldb_handler_fold.
 225
 226 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 227    * BUG 14595: CVE-2020-27840: Fix unauthenticated remote heap corruption via
 228      bad DNs.
 229    * BUG 14655: CVE-2021-20277: Fix out of bounds read in ldb_handler_fold.
 230
 231
 232 #######################################
 233 Reporting bugs & Development Discussion
 234 #######################################
 235
 236 Please discuss this release on the samba-technical mailing list or by
 237 joining the #samba-technical IRC channel on irc.freenode.net.
 238
 239 If you do report problems then please try to send high quality
 240 feedback. If you don't provide vital information to help us track down
 241 the problem then you will probably be ignored.  All bug reports should
 242 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 243 database (https://bugzilla.samba.org/).
 244
 245
 246 ======================================================================
 247 == Our Code, Our Bugs, Our Responsibility.
 248 == The Samba Team
 249 ======================================================================
 250
 251
 252 ----------------------------------------------------------------------
 253
 254
 255                    ==============================
 256                    Release Notes for Samba 4.13.5
 257                            March 09, 2021
 258                    ==============================
 259
 260
 261 This is the latest stable release of the Samba 4.13 release series.
 262
 263
 264 Changes since 4.13.4
 265 --------------------
 266
 267 o  Trever L. Adams <trever.adams@gmail.com>
 268    * BUG 14634: s3:modules:vfs_virusfilter: Recent talloc changes cause infinite
 269      start-up failure.
 270
 271 o  Jeremy Allison <jra@samba.org>
 272    * BUG 13992: s3: libsmb: Add missing cli_tdis() in error path if encryption
 273      setup failed on temp proxy connection.
 274    * BUG 14604: smbd: In conn_force_tdis_done() when forcing a connection closed
 275      force a full reload of services.
 276
 277 o  Andrew Bartlett <abartlet@samba.org>
 278    * BUG 14593: dbcheck: Check Deleted Objects and reduce noise in reports about
 279      expired tombstones.
 280
 281 o  Ralph Boehme <slow@samba.org
 282    * BUG 14503: s3: Fix fcntl waf configure check.
 283    * BUG 14602: s3/auth: Implement "winbind:ignore domains".
 284    * BUG 14617: smbd: Use fsp->conn->session_info for the initial
 285      delete-on-close token.
 286
 287 o  Peter Eriksson <pen@lysator.liu.se>
 288    * BUG 14648: s3: VFS: nfs4_acls. Add missing TALLOC_FREE(frame) in error
 289      path.
 290
 291 o  Björn Jacke <bj@sernet.de>
 292    * BUG 14624: classicupgrade: Treat old never expires value right.
 293
 294 o  Volker Lendecke <vl@samba.org>
 295    * BUG 14636: g_lock: Fix uninitalized variable reads.
 296
 297 o  Stefan Metzmacher <metze@samba.org>
 298    * BUG 13898: s3:pysmbd: Fix fd leak in py_smbd_create_file().
 299
 300 o  Andreas Schneider <asn@samba.org>
 301    * BUG 14625: lib:util: Avoid free'ing our own pointer.
 302
 303 o  Paul Wise <pabs3@bonedaddy.net>
 304    * BUG 12505: HEIMDAL: krb5_storage_free(NULL) should work.
 305
 306
 307 #######################################
 308 Reporting bugs & Development Discussion
 309 #######################################
 310
 311 Please discuss this release on the samba-technical mailing list or by
 312 joining the #samba-technical IRC channel on irc.freenode.net.
 313
 314 If you do report problems then please try to send high quality
 315 feedback. If you don't provide vital information to help us track down
 316 the problem then you will probably be ignored.  All bug reports should
 317 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 318 database (https://bugzilla.samba.org/).
 319
 320
 321 ======================================================================
 322 == Our Code, Our Bugs, Our Responsibility.
 323 == The Samba Team
 324 ======================================================================
 325
 326
 327 ----------------------------------------------------------------------
 328
 329
 330                    ==============================
 331                    Release Notes for Samba 4.13.4
 332                           January 26, 2021
 333                    ==============================
 334
 335
 336 This is the latest stable release of the Samba 4.13 release series.
 337
 338
 339 Changes since 4.13.3
 340 --------------------
 341
 342 o  Jeremy Allison <jra@samba.org>
 343    * BUG 14607: Work around special SMB2 IOCTL response behavior of NetApp Ontap
 344      7.3.7.
 345    * BUG 14612: Temporary DFS share setup doesn't set case parameters in the
 346      same way as a regular share definition does.
 347
 348 o  Dimitry Andric <dimitry@andric.com>
 349    * BUG 14605: lib: Avoid declaring zero-length VLAs in various messaging
 350      functions.
 351
 352 o  Andrew Bartlett <abartlet@samba.org>
 353    * BUG 14579: Do not create an empty DB when accessing a sam.ldb.
 354
 355 o  Ralph Boehme <slow@samba.org>
 356    * BUG 14596: vfs_fruit may close wrong backend fd.
 357    * BUG 14612: Temporary DFS share setup doesn't set case parameters in the
 358      same way as a regular share definition does.
 359
 360 o  Arne Kreddig <arne@kreddig.net>
 361    * BUG 14606: vfs_virusfilter: Allocate separate memory for config char*.
 362
 363 o  Stefan Metzmacher <metze@samba.org>
 364    * BUG 14596: vfs_fruit may close wrong backend fd.
 365    * BUG 14607: Work around special SMB2 IOCTL response behavior of NetApp Ontap
 366      7.3.7.
 367
 368 o  Andreas Schneider <asn@samba.org>
 369    * BUG 14601: The cache directory for the user gencache should be created
 370      recursively.
 371
 372 o  Martin Schwenke <martin@meltin.net>
 373    * BUG 14594: Be more flexible with repository names in CentOS 8 test
 374      environments.
 375
 376
 377 #######################################
 378 Reporting bugs & Development Discussion
 379 #######################################
 380
 381 Please discuss this release on the samba-technical mailing list or by
 382 joining the #samba-technical IRC channel on irc.freenode.net.
 383
 384 If you do report problems then please try to send high quality
 385 feedback. If you don't provide vital information to help us track down
 386 the problem then you will probably be ignored.  All bug reports should
 387 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 388 database (https://bugzilla.samba.org/).
 389
 390
 391 ======================================================================
 392 == Our Code, Our Bugs, Our Responsibility.
 393 == The Samba Team
 394 ======================================================================
 395
 396
 397 ----------------------------------------------------------------------
 398
 399
 400                    ==============================
 401                    Release Notes for Samba 4.13.3
 402                           December 15, 2020
 403                    ==============================
 404
 405
 406 This is the latest stable release of the Samba 4.13 release series.
 407
 408
 409 Changes since 4.13.2
 410 --------------------
 411
 412 o  Jeremy Allison <jra@samba.org>
 413    * BUG 14210: libcli: smb2: Never print length if smb2_signing_key_valid()
 414      fails for crypto blob.
 415    * BUG 14486: s3: modules: gluster. Fix the error I made in preventing talloc
 416      leaks from a function.
 417    * BUG 14515: s3: smbd: Don't overwrite contents of fsp->aio_requests[0] with
 418      NULL via TALLOC_FREE().
 419    * BUG 14568: s3: spoolss: Make parameters in call to user_ok_token() match
 420      all other uses.
 421    * BUG 14590: s3: smbd: Quiet log messages from usershares for an unknown
 422      share.
 423
 424 o  Ralph Boehme <slow@samba.org>
 425    * BUG 14248: samba process does not honor max log size.
 426    * BUG 14587: vfs_zfsacl: Add missing inherited flag on hidden "magic"
 427      everyone@ ACE.
 428
 429 o  Isaac Boukris <iboukris@gmail.com>
 430    * BUG 13124: s3-libads: Pass timeout to open_socket_out in ms.
 431
 432 o  Günther Deschner <gd@samba.org>
 433    * BUG 14486: s3-vfs_glusterfs: Always disable write-behind translator.
 434
 435 o  Volker Lendecke <vl@samba.org>
 436    * BUG 14517: smbclient: Fix recursive mget.
 437    * BUG 14581: clitar: Use do_list()'s recursion in clitar.c.
 438
 439 o  Anoop C S <anoopcs@samba.org>
 440    * BUG 14486: manpages/vfs_glusterfs: Mention silent skipping of write-behind
 441      translator.
 442    * BUG 14573: vfs_shadow_copy2: Preserve all open flags assuming ROFS.
 443
 444 o  Jones Syue <jonessyue@qnap.com>
 445    * BUG 14514: interface: Fix if_index is not parsed correctly.
 446
 447
 448 #######################################
 449 Reporting bugs & Development Discussion
 450 #######################################
 451
 452 Please discuss this release on the samba-technical mailing list or by
 453 joining the #samba-technical IRC channel on irc.freenode.net.
 454
 455 If you do report problems then please try to send high quality
 456 feedback. If you don't provide vital information to help us track down
 457 the problem then you will probably be ignored.  All bug reports should
 458 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 459 database (https://bugzilla.samba.org/).
 460
 461
 462 ======================================================================
 463 == Our Code, Our Bugs, Our Responsibility.
 464 == The Samba Team
 465 ======================================================================
 466
 467
 468 ----------------------------------------------------------------------                   ==============================
 469                    Release Notes for Samba 4.13.2
 470                           November 03, 2020
 471                    ==============================
 472
 473
 474 This is the latest stable release of the Samba 4.13 release series.
 475
 476 Major enhancements include:
 477   o BUG 14537: ctdb-common: Avoid aliasing errors during code optimization.
 478   o BUG 14486: vfs_glusterfs: Avoid data corruption with the write-behind
 479                translator.
 480
 481
 482 =======
 483 Details
 484 =======
 485
 486 The GlusterFS write-behind performance translator, when used with Samba, could
 487 be a source of data corruption. The translator, while processing a write call,
 488 immediately returns success but continues writing the data to the server in the
 489 background. This can cause data corruption when two clients relying on Samba to
 490 provide data consistency are operating on the same file.
 491
 492 The write-behind translator is enabled by default on GlusterFS.
 493 The vfs_glusterfs plugin will check for the presence of the translator and
 494 refuse to connect if detected. Please disable the write-behind translator for
 495 the GlusterFS volume to allow the plugin to connect to the volume.
 496
 497
 498 Changes since 4.13.1
 499 --------------------
 500
 501 o  Jeremy Allison <jra@samba.org>
 502    * BUG 14486: s3: modules: vfs_glusterfs: Fix leak of char
 503      **lines onto mem_ctx on return.
 504
 505 o  Ralph Boehme <slow@samba.org>
 506    * BUG 14471: RN: vfs_zfsacl: Only grant DELETE_CHILD if ACL tag is special.
 507
 508 o  Alexander Bokovoy <ab@samba.org>
 509    * BUG 14538: smb.conf.5: Add clarification how configuration changes
 510      reflected by Samba.
 511    * BUG 14552: daemons: Report status to systemd even when running in
 512      foreground.
 513    * BUG 14553: DNS Resolver: Support both dnspython before and after 2.0.0.
 514
 515 o  Günther Deschner <gd@samba.org>
 516    * BUG 14486: s3-vfs_glusterfs: Refuse connection when write-behind xlator is
 517      present.
 518
 519 o  Amitay Isaacs <amitay@gmail.com>
 520    * BUG 14487: provision: Add support for BIND 9.16.x.
 521    * BUG 14537: ctdb-common: Avoid aliasing errors during code optimization.
 522    * BUG 14541: libndr: Avoid assigning duplicate versions to symbols.
 523
 524 o  Björn Jacke <bjacke@samba.org>
 525    * BUG 14522: docs: Fix default value of spoolss:architecture.
 526
 527 o  Laurent Menase <laurent.menase@hpe.com>
 528    * BUG 14388: winbind: Fix a memleak.
 529
 530 o  Stefan Metzmacher <metze@samba.org>
 531    * BUG 14531: s4:dsdb:acl_read: Implement "List Object" mode feature.
 532
 533 o  Sachin Prabhu <sprabhu@redhat.com>
 534    * BUG 14486: docs-xml/manpages: Add warning about write-behind translator for
 535      vfs_glusterfs.
 536
 537 o  Khem Raj <raj.khem@gmail.com>
 538    * nsswitch/nsstest.c: Avoid nss function conflicts with glibc nss.h.
 539
 540 o  Anoop C S <anoopcs@samba.org>
 541    * BUG 14530: vfs_shadow_copy2: Avoid closing snapsdir twice.
 542
 543 o  Andreas Schneider <asn@samba.org>
 544    * BUG 14547: third_party: Update resolv_wrapper to version 1.1.7.
 545    * BUG 14550: examples:auth: Do not install example plugin.
 546
 547 o  Martin Schwenke <martin@meltin.net>
 548    * BUG 14513: ctdb-recoverd: Drop unnecessary and broken code.
 549
 550 o  Andrew Walker <awalker@ixsystems.com>
 551    * BUG 14471: RN: vfs_zfsacl: Only grant DELETE_CHILD if ACL tag is special.
 552
 553
 554 #######################################
 555 Reporting bugs & Development Discussion
 556 #######################################
 557
 558 Please discuss this release on the samba-technical mailing list or by
 559 joining the #samba-technical IRC channel on irc.freenode.net.
 560
 561 If you do report problems then please try to send high quality
 562 feedback. If you don't provide vital information to help us track down
 563 the problem then you will probably be ignored.  All bug reports should
 564 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 565 database (https://bugzilla.samba.org/).
 566
 567
 568 ======================================================================
 569 == Our Code, Our Bugs, Our Responsibility.
 570 == The Samba Team
 571 ======================================================================
 572
 573
 574 ----------------------------------------------------------------------
 575
 576
 577                    ==============================
 578                    Release Notes for Samba 4.13.1
 579                           October 29, 2020
 580                    ==============================
 581
 582
 583 This is a security release in order to address the following defects:
 584
 585 o CVE-2020-14318: Missing handle permissions check in SMB1/2/3 ChangeNotify.
 586 o CVE-2020-14323: Unprivileged user can crash winbind.
 587 o CVE-2020-14383: An authenticated user can crash the DCE/RPC DNS with easily
 588                   crafted records.
 589
 590
 591 =======
 592 Details
 593 =======
 594
 595 o  CVE-2020-14318:
 596    The SMB1/2/3 protocols have a concept of "ChangeNotify", where a client can
 597    request file name notification on a directory handle when a condition such as
 598    "new file creation" or "file size change" or "file timestamp update" occurs.
 599
 600    A missing permissions check on a directory handle requesting ChangeNotify
 601    meant that a client with a directory handle open only for
 602    FILE_READ_ATTRIBUTES (minimal access rights) could be used to obtain change
 603    notify replies from the server. These replies contain information that should
 604    not be available to directory handles open for FILE_READ_ATTRIBUTE only.
 605
 606 o  CVE-2020-14323:
 607    winbind in version 3.6 and later implements a request to translate multiple
 608    Windows SIDs into names in one request. This was done for performance
 609    reasons: The Microsoft RPC call domain controllers offer to do this
 610    translation, so it was an obvious extension to also offer this batch
 611    operation on the winbind unix domain stream socket that is available to local
 612    processes on the Samba server.
 613
 614    Due to improper input validation a hand-crafted packet can make winbind
 615    perform a NULL pointer dereference and thus crash.
 616
 617 o  CVE-2020-14383:
 618    Some DNS records (such as MX and NS records) usually contain data in the
 619    additional section. Samba's dnsserver RPC pipe (which is an administrative
 620    interface not used in the DNS server itself) made an error in handling the
 621    case where there are no records present: instead of noticing the lack of
 622    records, it dereferenced uninitialised memory, causing the RPC server to
 623    crash. This RPC server, which also serves protocols other than dnsserver,
 624    will be restarted after a short delay, but it is easy for an authenticated
 625    non-admin attacker to crash it again as soon as it returns. The Samba DNS
 626    server itself will continue to operate, but many RPC services will not.
 627
 628 For more details, please refer to the security advisories.
 629
 630
 631 Changes since 4.13.0
 632 --------------------
 633
 634 o  Jeremy Allison <jra@samba.org>
 635    * BUG 14434: CVE-2020-14318: s3: smbd: Ensure change notifies can't get set
 636      unless the directory handle is open for SEC_DIR_LIST.
 637
 638 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 639    * BUG 12795: CVE-2020-14383: Remote crash after adding NS or MX records using
 640      'samba-tool'.
 641    * BUG 14472: CVE-2020-14383: Remote crash after adding MX records.
 642
 643 o  Volker Lendecke <vl@samba.org>
 644    * BUG 14436: CVE-2020-14323: winbind: Fix invalid lookupsids DoS.
 645
 646
 647 #######################################
 648 Reporting bugs & Development Discussion
 649 #######################################
 650
 651 Please discuss this release on the samba-technical mailing list or by
 652 joining the #samba-technical IRC channel on irc.freenode.net.
 653
 654 If you do report problems then please try to send high quality
 655 feedback. If you don't provide vital information to help us track down
 656 the problem then you will probably be ignored.  All bug reports should
 657 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 658 database (https://bugzilla.samba.org/).
 659
 660
 661 ======================================================================
 662 == Our Code, Our Bugs, Our Responsibility.
 663 == The Samba Team
 664 ======================================================================
 665
 666
 667 ----------------------------------------------------------------------
 668
 669
 670                    ==============================
 671                    Release Notes for Samba 4.13.0
 672                           September 22, 2020
 673                    ==============================
 674
 675
 676 This is the first stable release of the Samba 4.13 release series.
 677 Please read the release notes carefully before upgrading.
 678
 679
 680 ZeroLogon
 681 =========
 682
 683 Please avoid to set "server schannel = no" and "server schannel= auto" on all
 684 Samba domain controllers due to the wellknown ZeroLogon issue.
 685
 686 For details please see
 687 https://www.samba.org/samba/security/CVE-2020-1472.html.
 688
 689
 690 NEW FEATURES/CHANGES
 691 ====================
 692
 693 Python 3.6 or later required
 694 ----------------------------
 695
 696 Samba's minimum runtime requirement for python was raised to Python
 697 3.5 with samba 4.12.  Samba 4.13 raises this minimum version to Python
 698 3.6 both to access new features and because this is the oldest version
 699 we test with in our CI infrastructure.
 700
 701 This is also the last release where it will be possible to build Samba
 702 (just the file server) with Python versions 2.6 and 2.7.
 703
 704 As Python 2.7 has been End Of Life upstream since April 2020, Samba
 705 is dropping ALL Python 2.x support in the NEXT release.
 706
 707 Samba 4.14 to be released in March 2021 will require Python 3.6 or
 708 later to build.
 709
 710 wide links functionality
 711 ------------------------
 712
 713 For this release, the code implementing the insecure "wide links = yes"
 714 functionality has been moved out of the core smbd code and into a separate
 715 VFS module, vfs_widelinks. Currently this vfs module is implicitly loaded
 716 by smbd as the last but one module before vfs_default if "wide links = yes"
 717 is enabled on the share (note, the existing restrictions on enabling wide
 718 links around the SMB1 "unix extensions" and the "allow insecure wide links"
 719 parameters are still in force). The implicit loading was done to allow
 720 existing users of "wide links = yes" to keep this functionality without
 721 having to make a change to existing working smb.conf files.
 722
 723 Please note that the Samba developers recommend changing any Samba
 724 installations that currently use "wide links = yes" to use bind mounts
 725 as soon as possible, as "wide links = yes" is an inherently insecure
 726 configuration which we would like to remove from Samba. Moving the
 727 feature into a VFS module allows this to be done in a cleaner way
 728 in future.
 729
 730 A future release to be determined will remove this implicit linkage,
 731 causing administrators who need this functionality to have to explicitly
 732 add the vfs_widelinks module into the "vfs objects =" parameter lists.
 733 The release notes will be updated to note this change when it occurs.
 734
 735 NT4-like 'classic' Samba domain controllers
 736 -------------------------------------------
 737
 738 Samba 4.13 deprecates Samba's original domain controller mode.
 739
 740 Sites using Samba as a Domain Controller should upgrade from the
 741 NT4-like 'classic' Domain Controller to a Samba Active Directory DC
 742 to ensure full operation with modern windows clients.
 743
 744 SMBv1 only protocol options deprecated
 745 --------------------------------------
 746
 747 A number of smb.conf parameters for less-secure authentication methods
 748 which are only possible over SMBv1 are deprecated in this release.
 749
 750
 751 REMOVED FEATURES
 752 ================
 753
 754 The deprecated "ldap ssl ads" smb.conf option has been removed.
 755
 756
 757 smb.conf changes
 758 ================
 759
 760   Parameter Name                      Description                Default
 761   --------------                      -----------                -------
 762   ldap ssl ads                        Removed
 763   smb2 disable lock sequence checking Added                      No
 764   smb2 disable oplock break retry     Added                      No
 765   domain logons                       Deprecated                 no
 766   raw NTLMv2 auth                     Deprecated                 no
 767   client plaintext auth               Deprecated                 no
 768   client NTLMv2 auth                  Deprecated                 yes
 769   client lanman auth                  Deprecated                 no
 770   client use spnego                   Deprecated                 yes
 771   server require schannel:COMPUTER    Added
 772
 773
 774 CHANGES SINCE 4.13.0rc5
 775 =======================
 776
 777 o  Jeremy Allison <jra@samba.org>
 778    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Protect
 779      netr_ServerPasswordSet2 against unencrypted passwords.
 780
 781 o  Günther Deschner <gd@samba.org>
 782    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Support
 783      "server require schannel:WORKSTATION$ = no" about unsecure configurations.
 784
 785 o  Gary Lockyer <gary@catalyst.net.nz>
 786    * BUG 14497: CVE-2020-1472(ZeroLogon): s4 torture rpc: repeated bytes in
 787      client challenge.
 788
 789 o  Stefan Metzmacher <metze@samba.org>
 790    * BUG 14497: CVE-2020-1472(ZeroLogon): libcli/auth: Reject weak client
 791      challenges in netlogon_creds_server_init()
 792      "server require schannel:WORKSTATION$ = no".
 793
 794
 795 CHANGES SINCE 4.13.0rc4
 796 =======================
 797
 798 o  Andreas Schneider <asn@samba.org>
 799    * BUG 14399: waf: Only use gnutls_aead_cipher_encryptv2() for GnuTLS >
 800      3.6.14.
 801    * BUG 14467: s3:smbd: Fix %U substitutions if it contains a domain name.
 802    * BUG 14479: The created krb5.conf for 'net ads join' doesn't have a domain
 803      entry.
 804
 805 o  Stefan Metzmacher <metze@samba.org>
 806    * BUG 14482: Fix build problem if libbsd-dev is not installed.
 807
 808
 809 CHANGES SINCE 4.13.0rc3
 810 =======================
 811
 812 o  David Disseldorp <ddiss@samba.org>
 813    * BUG 14437: build: Toggle vfs_snapper using "--with-shared-modules".
 814
 815 o  Volker Lendecke <vl@samba.org>
 816    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
 817      response.
 818
 819 o  Stefan Metzmacher <metze@samba.org>
 820    * BUG 14428: PANIC: Assert failed in get_lease_type().
 821    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
 822      response.
 823
 824
 825 CHANGES SINCE 4.13.0rc2
 826 =======================
 827
 828 o  Andrew Bartlett <abartlet@samba.org>
 829    * BUG 14460: Deprecate domain logons, SMBv1 things.
 830
 831 o  Günther Deschner <gd@samba.org>
 832    * BUG 14318: docs: Add missing winexe manpage.
 833
 834 o  Christof Schmitt <cs@samba.org>
 835    * BUG 14166: util: Allow symlinks in directory_create_or_exist.
 836
 837 o  Martin Schwenke <martin@meltin.net>
 838    * BUG 14466: ctdb disable/enable can fail due to race condition.
 839
 840
 841 CHANGES SINCE 4.13.0rc1
 842 =======================
 843
 844 o  Andrew Bartlett <abartlet@samba.org>
 845    * BUG 14450: dbcheck: Allow a dangling forward link outside our known NCs.
 846
 847 o  Isaac Boukris <iboukris@gmail.com>
 848    * BUG 14462: Remove deprecated "ldap ssl ads" smb.conf option.
 849
 850 o  Volker Lendecke <vl@samba.org>
 851    * BUG 14435: winbind: Fix lookuprids cache problem.
 852
 853 o  Stefan Metzmacher <metze@samba.org>
 854    * BUG 14354: kdc:db-glue: Ignore KRB5_PROG_ETYPE_NOSUPP also for
 855      Primary:Kerberos.
 856
 857 o  Andreas Schneider <asn@samba.org>
 858    * BUG 14358: docs: Fix documentation for require_membership_of of
 859      pam_winbind.conf.
 860
 861 o  Martin Schwenke <martin@meltin.net>
 862    * BUG 14444: ctdb-scripts: Use nfsconf as a last resort get nfsd thread
 863      count.
 864
 865
 866 KNOWN ISSUES
 867 ============
 868
 869 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.13#Release_blocking_bugs
 870
 871
 872 #######################################
 873 Reporting bugs & Development Discussion
 874 #######################################
 875
 876 Please discuss this release on the samba-technical mailing list or by
 877 joining the #samba-technical IRC channel on irc.freenode.net.
 878
 879 If you do report problems then please try to send high quality
 880 feedback. If you don't provide vital information to help us track down
 881 the problem then you will probably be ignored.  All bug reports should
 882 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 883 database (https://bugzilla.samba.org/).
 884
 885
 886 ======================================================================
 887 == Our Code, Our Bugs, Our Responsibility.
 888 == The Samba Team
 889 ======================================================================
 890