WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.13.3
   3                           December 15, 2020
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.13 release series.
   8
   9
  10 Changes since 4.13.2
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 14210: libcli: smb2: Never print length if smb2_signing_key_valid()
  15      fails for crypto blob.
  16    * BUG 14486: s3: modules: gluster. Fix the error I made in preventing talloc
  17      leaks from a function.
  18    * BUG 14515: s3: smbd: Don't overwrite contents of fsp->aio_requests[0] with
  19      NULL via TALLOC_FREE().
  20    * BUG 14568: s3: spoolss: Make parameters in call to user_ok_token() match
  21      all other uses.
  22    * BUG 14590: s3: smbd: Quiet log messages from usershares for an unknown
  23      share.
  24
  25 o  Ralph Boehme <slow@samba.org>
  26    * BUG 14248: samba process does not honor max log size.
  27    * BUG 14587: vfs_zfsacl: Add missing inherited flag on hidden "magic"
  28      everyone@ ACE.
  29
  30 o  Isaac Boukris <iboukris@gmail.com>
  31    * BUG 13124: s3-libads: Pass timeout to open_socket_out in ms.
  32
  33 o  Günther Deschner <gd@samba.org>
  34    * BUG 14486: s3-vfs_glusterfs: Always disable write-behind translator.
  35
  36 o  Volker Lendecke <vl@samba.org>
  37    * BUG 14517: smbclient: Fix recursive mget.
  38    * BUG 14581: clitar: Use do_list()'s recursion in clitar.c.
  39
  40 o  Anoop C S <anoopcs@samba.org>
  41    * BUG 14486: manpages/vfs_glusterfs: Mention silent skipping of write-behind
  42      translator.
  43    * BUG 14573: vfs_shadow_copy2: Preserve all open flags assuming ROFS.
  44
  45 o  Jones Syue <jonessyue@qnap.com>
  46    * BUG 14514: interface: Fix if_index is not parsed correctly.
  47
  48
  49 #######################################
  50 Reporting bugs & Development Discussion
  51 #######################################
  52
  53 Please discuss this release on the samba-technical mailing list or by
  54 joining the #samba-technical IRC channel on irc.freenode.net.
  55
  56 If you do report problems then please try to send high quality
  57 feedback. If you don't provide vital information to help us track down
  58 the problem then you will probably be ignored.  All bug reports should
  59 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  60 database (https://bugzilla.samba.org/).
  61
  62
  63 ======================================================================
  64 == Our Code, Our Bugs, Our Responsibility.
  65 == The Samba Team
  66 ======================================================================
  67
  68
  69 Release notes for older releases follow:
  70 ----------------------------------------
  71
  72                    ==============================
  73                    Release Notes for Samba 4.13.2
  74                           November 03, 2020
  75                    ==============================
  76
  77
  78 This is the latest stable release of the Samba 4.13 release series.
  79
  80 Major enhancements include:
  81   o BUG 14537: ctdb-common: Avoid aliasing errors during code optimization.
  82   o BUG 14486: vfs_glusterfs: Avoid data corruption with the write-behind
  83                translator.
  84
  85
  86 =======
  87 Details
  88 =======
  89
  90 The GlusterFS write-behind performance translator, when used with Samba, could
  91 be a source of data corruption. The translator, while processing a write call,
  92 immediately returns success but continues writing the data to the server in the
  93 background. This can cause data corruption when two clients relying on Samba to
  94 provide data consistency are operating on the same file.
  95
  96 The write-behind translator is enabled by default on GlusterFS.
  97 The vfs_glusterfs plugin will check for the presence of the translator and
  98 refuse to connect if detected. Please disable the write-behind translator for
  99 the GlusterFS volume to allow the plugin to connect to the volume.
 100
 101
 102 Changes since 4.13.1
 103 --------------------
 104
 105 o  Jeremy Allison <jra@samba.org>
 106    * BUG 14486: s3: modules: vfs_glusterfs: Fix leak of char
 107      **lines onto mem_ctx on return.
 108
 109 o  Ralph Boehme <slow@samba.org>
 110    * BUG 14471: RN: vfs_zfsacl: Only grant DELETE_CHILD if ACL tag is special.
 111
 112 o  Alexander Bokovoy <ab@samba.org>
 113    * BUG 14538: smb.conf.5: Add clarification how configuration changes
 114      reflected by Samba.
 115    * BUG 14552: daemons: Report status to systemd even when running in
 116      foreground.
 117    * BUG 14553: DNS Resolver: Support both dnspython before and after 2.0.0.
 118
 119 o  Günther Deschner <gd@samba.org>
 120    * BUG 14486: s3-vfs_glusterfs: Refuse connection when write-behind xlator is
 121      present.
 122
 123 o  Amitay Isaacs <amitay@gmail.com>
 124    * BUG 14487: provision: Add support for BIND 9.16.x.
 125    * BUG 14537: ctdb-common: Avoid aliasing errors during code optimization.
 126    * BUG 14541: libndr: Avoid assigning duplicate versions to symbols.
 127
 128 o  Björn Jacke <bjacke@samba.org>
 129    * BUG 14522: docs: Fix default value of spoolss:architecture.
 130
 131 o  Laurent Menase <laurent.menase@hpe.com>
 132    * BUG 14388: winbind: Fix a memleak.
 133
 134 o  Stefan Metzmacher <metze@samba.org>
 135    * BUG 14531: s4:dsdb:acl_read: Implement "List Object" mode feature.
 136
 137 o  Sachin Prabhu <sprabhu@redhat.com>
 138    * BUG 14486: docs-xml/manpages: Add warning about write-behind translator for
 139      vfs_glusterfs.
 140
 141 o  Khem Raj <raj.khem@gmail.com>
 142    * nsswitch/nsstest.c: Avoid nss function conflicts with glibc nss.h.
 143
 144 o  Anoop C S <anoopcs@samba.org>
 145    * BUG 14530: vfs_shadow_copy2: Avoid closing snapsdir twice.
 146
 147 o  Andreas Schneider <asn@samba.org>
 148    * BUG 14547: third_party: Update resolv_wrapper to version 1.1.7.
 149    * BUG 14550: examples:auth: Do not install example plugin.
 150
 151 o  Martin Schwenke <martin@meltin.net>
 152    * BUG 14513: ctdb-recoverd: Drop unnecessary and broken code.
 153
 154 o  Andrew Walker <awalker@ixsystems.com>
 155    * BUG 14471: RN: vfs_zfsacl: Only grant DELETE_CHILD if ACL tag is special.
 156
 157
 158 #######################################
 159 Reporting bugs & Development Discussion
 160 #######################################
 161
 162 Please discuss this release on the samba-technical mailing list or by
 163 joining the #samba-technical IRC channel on irc.freenode.net.
 164
 165 If you do report problems then please try to send high quality
 166 feedback. If you don't provide vital information to help us track down
 167 the problem then you will probably be ignored.  All bug reports should
 168 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 169 database (https://bugzilla.samba.org/).
 170
 171
 172 ======================================================================
 173 == Our Code, Our Bugs, Our Responsibility.
 174 == The Samba Team
 175 ======================================================================
 176
 177
 178 ----------------------------------------------------------------------
 179
 180
 181                    ==============================
 182                    Release Notes for Samba 4.13.1
 183                           October 29, 2020
 184                    ==============================
 185
 186
 187 This is a security release in order to address the following defects:
 188
 189 o CVE-2020-14318: Missing handle permissions check in SMB1/2/3 ChangeNotify.
 190 o CVE-2020-14323: Unprivileged user can crash winbind.
 191 o CVE-2020-14383: An authenticated user can crash the DCE/RPC DNS with easily
 192                   crafted records.
 193
 194
 195 =======
 196 Details
 197 =======
 198
 199 o  CVE-2020-14318:
 200    The SMB1/2/3 protocols have a concept of "ChangeNotify", where a client can
 201    request file name notification on a directory handle when a condition such as
 202    "new file creation" or "file size change" or "file timestamp update" occurs.
 203
 204    A missing permissions check on a directory handle requesting ChangeNotify
 205    meant that a client with a directory handle open only for
 206    FILE_READ_ATTRIBUTES (minimal access rights) could be used to obtain change
 207    notify replies from the server. These replies contain information that should
 208    not be available to directory handles open for FILE_READ_ATTRIBUTE only.
 209
 210 o  CVE-2020-14323:
 211    winbind in version 3.6 and later implements a request to translate multiple
 212    Windows SIDs into names in one request. This was done for performance
 213    reasons: The Microsoft RPC call domain controllers offer to do this
 214    translation, so it was an obvious extension to also offer this batch
 215    operation on the winbind unix domain stream socket that is available to local
 216    processes on the Samba server.
 217
 218    Due to improper input validation a hand-crafted packet can make winbind
 219    perform a NULL pointer dereference and thus crash.
 220
 221 o  CVE-2020-14383:
 222    Some DNS records (such as MX and NS records) usually contain data in the
 223    additional section. Samba's dnsserver RPC pipe (which is an administrative
 224    interface not used in the DNS server itself) made an error in handling the
 225    case where there are no records present: instead of noticing the lack of
 226    records, it dereferenced uninitialised memory, causing the RPC server to
 227    crash. This RPC server, which also serves protocols other than dnsserver,
 228    will be restarted after a short delay, but it is easy for an authenticated
 229    non-admin attacker to crash it again as soon as it returns. The Samba DNS
 230    server itself will continue to operate, but many RPC services will not.
 231
 232 For more details, please refer to the security advisories.
 233
 234
 235 Changes since 4.13.0
 236 --------------------
 237
 238 o  Jeremy Allison <jra@samba.org>
 239    * BUG 14434: CVE-2020-14318: s3: smbd: Ensure change notifies can't get set
 240      unless the directory handle is open for SEC_DIR_LIST.
 241
 242 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 243    * BUG 12795: CVE-2020-14383: Remote crash after adding NS or MX records using
 244      'samba-tool'.
 245    * BUG 14472: CVE-2020-14383: Remote crash after adding MX records.
 246
 247 o  Volker Lendecke <vl@samba.org>
 248    * BUG 14436: CVE-2020-14323: winbind: Fix invalid lookupsids DoS.
 249
 250
 251 #######################################
 252 Reporting bugs & Development Discussion
 253 #######################################
 254
 255 Please discuss this release on the samba-technical mailing list or by
 256 joining the #samba-technical IRC channel on irc.freenode.net.
 257
 258 If you do report problems then please try to send high quality
 259 feedback. If you don't provide vital information to help us track down
 260 the problem then you will probably be ignored.  All bug reports should
 261 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 262 database (https://bugzilla.samba.org/).
 263
 264
 265 ======================================================================
 266 == Our Code, Our Bugs, Our Responsibility.
 267 == The Samba Team
 268 ======================================================================
 269
 270
 271 ----------------------------------------------------------------------
 272
 273
 274                    ==============================
 275                    Release Notes for Samba 4.13.0
 276                           September 22, 2020
 277                    ==============================
 278
 279
 280 This is the first stable release of the Samba 4.13 release series.
 281 Please read the release notes carefully before upgrading.
 282
 283
 284 ZeroLogon
 285 =========
 286
 287 Please avoid to set "server schannel = no" and "server schannel= auto" on all
 288 Samba domain controllers due to the wellknown ZeroLogon issue.
 289
 290 For details please see
 291 https://www.samba.org/samba/security/CVE-2020-1472.html.
 292
 293
 294 NEW FEATURES/CHANGES
 295 ====================
 296
 297 Python 3.6 or later required
 298 ----------------------------
 299
 300 Samba's minimum runtime requirement for python was raised to Python
 301 3.5 with samba 4.12.  Samba 4.13 raises this minimum version to Python
 302 3.6 both to access new features and because this is the oldest version
 303 we test with in our CI infrastructure.
 304
 305 This is also the last release where it will be possible to build Samba
 306 (just the file server) with Python versions 2.6 and 2.7.
 307
 308 As Python 2.7 has been End Of Life upstream since April 2020, Samba
 309 is dropping ALL Python 2.x support in the NEXT release.
 310
 311 Samba 4.14 to be released in March 2021 will require Python 3.6 or
 312 later to build.
 313
 314 wide links functionality
 315 ------------------------
 316
 317 For this release, the code implementing the insecure "wide links = yes"
 318 functionality has been moved out of the core smbd code and into a separate
 319 VFS module, vfs_widelinks. Currently this vfs module is implicitly loaded
 320 by smbd as the last but one module before vfs_default if "wide links = yes"
 321 is enabled on the share (note, the existing restrictions on enabling wide
 322 links around the SMB1 "unix extensions" and the "allow insecure wide links"
 323 parameters are still in force). The implicit loading was done to allow
 324 existing users of "wide links = yes" to keep this functionality without
 325 having to make a change to existing working smb.conf files.
 326
 327 Please note that the Samba developers recommend changing any Samba
 328 installations that currently use "wide links = yes" to use bind mounts
 329 as soon as possible, as "wide links = yes" is an inherently insecure
 330 configuration which we would like to remove from Samba. Moving the
 331 feature into a VFS module allows this to be done in a cleaner way
 332 in future.
 333
 334 A future release to be determined will remove this implicit linkage,
 335 causing administrators who need this functionality to have to explicitly
 336 add the vfs_widelinks module into the "vfs objects =" parameter lists.
 337 The release notes will be updated to note this change when it occurs.
 338
 339 NT4-like 'classic' Samba domain controllers
 340 -------------------------------------------
 341
 342 Samba 4.13 deprecates Samba's original domain controller mode.
 343
 344 Sites using Samba as a Domain Controller should upgrade from the
 345 NT4-like 'classic' Domain Controller to a Samba Active Directory DC
 346 to ensure full operation with modern windows clients.
 347
 348 SMBv1 only protocol options deprecated
 349 --------------------------------------
 350
 351 A number of smb.conf parameters for less-secure authentication methods
 352 which are only possible over SMBv1 are deprecated in this release.
 353
 354
 355 REMOVED FEATURES
 356 ================
 357
 358 The deprecated "ldap ssl ads" smb.conf option has been removed.
 359
 360
 361 smb.conf changes
 362 ================
 363
 364   Parameter Name                      Description                Default
 365   --------------                      -----------                -------
 366   ldap ssl ads                        Removed
 367   smb2 disable lock sequence checking Added                      No
 368   smb2 disable oplock break retry     Added                      No
 369   domain logons                       Deprecated                 no
 370   raw NTLMv2 auth                     Deprecated                 no
 371   client plaintext auth               Deprecated                 no
 372   client NTLMv2 auth                  Deprecated                 yes
 373   client lanman auth                  Deprecated                 no
 374   client use spnego                   Deprecated                 yes
 375   server require schannel:COMPUTER    Added
 376
 377
 378 CHANGES SINCE 4.13.0rc5
 379 =======================
 380
 381 o  Jeremy Allison <jra@samba.org>
 382    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Protect
 383      netr_ServerPasswordSet2 against unencrypted passwords.
 384
 385 o  Günther Deschner <gd@samba.org>
 386    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Support
 387      "server require schannel:WORKSTATION$ = no" about unsecure configurations.
 388
 389 o  Gary Lockyer <gary@catalyst.net.nz>
 390    * BUG 14497: CVE-2020-1472(ZeroLogon): s4 torture rpc: repeated bytes in
 391      client challenge.
 392
 393 o  Stefan Metzmacher <metze@samba.org>
 394    * BUG 14497: CVE-2020-1472(ZeroLogon): libcli/auth: Reject weak client
 395      challenges in netlogon_creds_server_init()
 396      "server require schannel:WORKSTATION$ = no".
 397
 398
 399 CHANGES SINCE 4.13.0rc4
 400 =======================
 401
 402 o  Andreas Schneider <asn@samba.org>
 403    * BUG 14399: waf: Only use gnutls_aead_cipher_encryptv2() for GnuTLS >
 404      3.6.14.
 405    * BUG 14467: s3:smbd: Fix %U substitutions if it contains a domain name.
 406    * BUG 14479: The created krb5.conf for 'net ads join' doesn't have a domain
 407      entry.
 408
 409 o  Stefan Metzmacher <metze@samba.org>
 410    * BUG 14482: Fix build problem if libbsd-dev is not installed.
 411
 412
 413 CHANGES SINCE 4.13.0rc3
 414 =======================
 415
 416 o  David Disseldorp <ddiss@samba.org>
 417    * BUG 14437: build: Toggle vfs_snapper using "--with-shared-modules".
 418
 419 o  Volker Lendecke <vl@samba.org>
 420    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
 421      response.
 422
 423 o  Stefan Metzmacher <metze@samba.org>
 424    * BUG 14428: PANIC: Assert failed in get_lease_type().
 425    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
 426      response.
 427
 428
 429 CHANGES SINCE 4.13.0rc2
 430 =======================
 431
 432 o  Andrew Bartlett <abartlet@samba.org>
 433    * BUG 14460: Deprecate domain logons, SMBv1 things.
 434
 435 o  Günther Deschner <gd@samba.org>
 436    * BUG 14318: docs: Add missing winexe manpage.
 437
 438 o  Christof Schmitt <cs@samba.org>
 439    * BUG 14166: util: Allow symlinks in directory_create_or_exist.
 440
 441 o  Martin Schwenke <martin@meltin.net>
 442    * BUG 14466: ctdb disable/enable can fail due to race condition.
 443
 444
 445 CHANGES SINCE 4.13.0rc1
 446 =======================
 447
 448 o  Andrew Bartlett <abartlet@samba.org>
 449    * BUG 14450: dbcheck: Allow a dangling forward link outside our known NCs.
 450
 451 o  Isaac Boukris <iboukris@gmail.com>
 452    * BUG 14462: Remove deprecated "ldap ssl ads" smb.conf option.
 453
 454 o  Volker Lendecke <vl@samba.org>
 455    * BUG 14435: winbind: Fix lookuprids cache problem.
 456
 457 o  Stefan Metzmacher <metze@samba.org>
 458    * BUG 14354: kdc:db-glue: Ignore KRB5_PROG_ETYPE_NOSUPP also for
 459      Primary:Kerberos.
 460
 461 o  Andreas Schneider <asn@samba.org>
 462    * BUG 14358: docs: Fix documentation for require_membership_of of
 463      pam_winbind.conf.
 464
 465 o  Martin Schwenke <martin@meltin.net>
 466    * BUG 14444: ctdb-scripts: Use nfsconf as a last resort get nfsd thread
 467      count.
 468
 469
 470 KNOWN ISSUES
 471 ============
 472
 473 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.13#Release_blocking_bugs
 474
 475
 476 #######################################
 477 Reporting bugs & Development Discussion
 478 #######################################
 479
 480 Please discuss this release on the samba-technical mailing list or by
 481 joining the #samba-technical IRC channel on irc.freenode.net.
 482
 483 If you do report problems then please try to send high quality
 484 feedback. If you don't provide vital information to help us track down
 485 the problem then you will probably be ignored.  All bug reports should
 486 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 487 database (https://bugzilla.samba.org/).
 488
 489
 490 ======================================================================
 491 == Our Code, Our Bugs, Our Responsibility.
 492 == The Samba Team
 493 ======================================================================
 494