WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.19.4
   3                           January 08, 2024
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.19 release series.
   8
   9
  10 Changes since 4.19.3
  11 --------------------
  12
  13 o  Samuel Cabrero <scabrero@samba.org>
  14    * BUG 13577: net changesecretpw cannot set the machine account password if
  15      secrets.tdb is empty.
  16
  17 o  Björn Jacke <bjacke@samba.org>
  18    * BUG 15540: For generating doc, take, if defined, env XML_CATALOG_FILES.
  19    * BUG 15541: Trivial C typo in nsswitch/winbind_nss_netbsd.c.
  20    * BUG 15542: vfs_linux_xfs is incorrectly named.
  21
  22 o  Björn Jacke <bj@sernet.de>
  23    * BUG 15377: systemd stumbled over copyright-message at smbd startup.
  24
  25 o  Volker Lendecke <vl@samba.org>
  26    * BUG 15505: Following intermediate abolute share-local symlinks is broken.
  27    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
  28      a non-public address disconnects first.
  29    * BUG 15544: shadow_copy2 broken when current fileset's directories are
  30      removed.
  31
  32 o  Stefan Metzmacher <metze@samba.org>
  33    * BUG 15377: systemd stumbled over copyright-message at smbd startup.
  34    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
  35      a non-public address disconnects first.
  36    * BUG 15534: smbd does not detect ctdb public ipv6 addresses for multichannel
  37      exclusion.
  38
  39 o  Andreas Schneider <asn@samba.org>
  40    * BUG 15469: 'force user = localunixuser' doesn't work if 'allow trusted
  41      domains = no' is set.
  42    * BUG 15525: smbget debug logging doesn't work.
  43    * BUG 15532: smget: username in the smburl and interactive password entry
  44      doesn't work.
  45    * BUG 15538: smbget auth function doesn't set values for password prompt
  46      correctly.
  47
  48 o  Martin Schwenke <mschwenke@ddn.com>
  49    * BUG 15523: ctdb RELEASE_IP causes a crash in release_ip if a connection to
  50      a non-public address disconnects first.
  51
  52 o  Shachar Sharon <ssharon@redhat.com>
  53    * BUG 15440: Unable to copy and write files from clients to Ceph cluster via
  54      SMB Linux gateway with Ceph VFS module.
  55
  56 o  Jones Syue <jonessyue@qnap.com>
  57    * BUG 15547: Multichannel refresh network information.
  58
  59
  60 #######################################
  61 Reporting bugs & Development Discussion
  62 #######################################
  63
  64 Please discuss this release on the samba-technical mailing list or by
  65 joining the #samba-technical:matrix.org matrix room, or
  66 #samba-technical IRC channel on irc.libera.chat.
  67
  68 If you do report problems then please try to send high quality
  69 feedback. If you don't provide vital information to help us track down
  70 the problem then you will probably be ignored.  All bug reports should
  71 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  72 database (https://bugzilla.samba.org/).
  73
  74
  75 ======================================================================
  76 == Our Code, Our Bugs, Our Responsibility.
  77 == The Samba Team
  78 ======================================================================
  79
  80
  81 Release notes for older releases follow:
  82 ----------------------------------------
  83                    ==============================
  84                    Release Notes for Samba 4.19.3
  85                          November 27, 2023
  86                    ==============================
  87
  88
  89 This is the latest stable release of the Samba 4.19 release series.
  90 It contains the security-relevant bugfix CVE-2018-14628:
  91
  92     Wrong ntSecurityDescriptor values for "CN=Deleted Objects"
  93     allow read of object tombstones over LDAP
  94     (Administrator action required!)
  95     https://www.samba.org/samba/security/CVE-2018-14628.html
  96
  97
  98 Description of CVE-2018-14628
  99 -----------------------------
 100
 101 All versions of Samba from 4.0.0 onwards are vulnerable to an
 102 information leak (compared with the established behaviour of
 103 Microsoft's Active Directory) when Samba is an Active Directory Domain
 104 Controller.
 105
 106 When a domain was provisioned with an unpatched Samba version,
 107 the ntSecurityDescriptor is simply inherited from Domain/Partition-HEAD-Object
 108 instead of being very strict (as on a Windows provisioned domain).
 109
 110 This means also non privileged users can use the
 111 LDAP_SERVER_SHOW_DELETED_OID control in order to view,
 112 the names and preserved attributes of deleted objects.
 113
 114 No information that was hidden before the deletion is visible, but in
 115 with the correct ntSecurityDescriptor value in place the whole object
 116 is also not visible without administrative rights.
 117
 118 There is no further vulnerability associated with this error, merely an
 119 information disclosure.
 120
 121 Action required in order to resolve CVE-2018-14628!
 122 ---------------------------------------------------
 123
 124 The patched Samba does NOT protect existing domains!
 125
 126 The administrator needs to run the following command
 127 (on only one domain controller)
 128 in order to apply the protection to an existing domain:
 129
 130   samba-tool dbcheck --cross-ncs --attrs=nTSecurityDescriptor --fix
 131
 132 The above requires manual interaction in order to review the
 133 changes before they are applied. Typicall question look like this:
 134
 135   Reset nTSecurityDescriptor on CN=Deleted Objects,DC=samba,DC=org back to provision default?
 136         Owner mismatch: SY (in ref) DA(in current)
 137         Group mismatch: SY (in ref) DA(in current)
 138         Part dacl is different between reference and current here is the detail:
 139                 (A;;LCRPLORC;;;AU) ACE is not present in the reference
 140                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY) ACE is not present in the reference
 141                 (A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;DA) ACE is not present in the reference
 142                 (A;;CCDCLCSWRPWPSDRCWDWO;;;SY) ACE is not present in the current
 143                 (A;;LCRP;;;BA) ACE is not present in the current
 144    [y/N/all/none] y
 145   Fixed attribute 'nTSecurityDescriptor' of 'CN=Deleted Objects,DC=samba,DC=org'
 146
 147 The change should be confirmed with 'y' for all objects starting with
 148 'CN=Deleted Objects'.
 149
 150
 151 Changes since 4.19.2
 152 --------------------
 153
 154 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 155    * BUG 15520: sid_strings test broken by unix epoch > 1700000000.
 156
 157 o  Ralph Boehme <slow@samba.org>
 158    * BUG 15487: smbd crashes if asked to return full information on close of a
 159      stream handle with delete on close disposition set.
 160    * BUG 15521: smbd: fix close order of base_fsp and stream_fsp in
 161      smb_fname_fsp_destructor().
 162
 163 o  Pavel Filipenský <pfilipensky@samba.org>
 164    * BUG 15499: Improve logging for failover scenarios.
 165
 166 o  Björn Jacke <bj@sernet.de>
 167    * BUG 15093: Files without "read attributes" NFS4 ACL permission are not
 168      listed in directories.
 169
 170 o  Stefan Metzmacher <metze@samba.org>
 171    * BUG 13595: CVE-2018-14628 [SECURITY] Deleted Object tombstones visible in
 172      AD LDAP to normal users.
 173    * BUG 15492: Kerberos TGS-REQ with User2User does not work for normal
 174      accounts.
 175
 176 o  Christof Schmitt <cs@samba.org>
 177    * BUG 15507: vfs_gpfs stat calls fail due to file system permissions.
 178
 179 o  Andreas Schneider <asn@samba.org>
 180    * BUG 15513: Samba doesn't build with Python 3.12.
 181
 182
 183 #######################################
 184 Reporting bugs & Development Discussion
 185 #######################################
 186
 187 Please discuss this release on the samba-technical mailing list or by
 188 joining the #samba-technical:matrix.org matrix room, or
 189 #samba-technical IRC channel on irc.libera.chat.
 190
 191 If you do report problems then please try to send high quality
 192 feedback. If you don't provide vital information to help us track down
 193 the problem then you will probably be ignored.  All bug reports should
 194 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 195 database (https://bugzilla.samba.org/).
 196
 197
 198 ======================================================================
 199 == Our Code, Our Bugs, Our Responsibility.
 200 == The Samba Team
 201 ======================================================================
 202
 203
 204 ----------------------------------------------------------------------
 205                    ==============================
 206                    Release Notes for Samba 4.19.2
 207                           October 16, 2023
 208                    ==============================
 209
 210
 211 This is the latest stable release of the Samba 4.19 release series.
 212
 213
 214 Changes since 4.19.1
 215 --------------------
 216
 217 o  Jeremy Allison <jra@samba.org>
 218    * BUG 15423: Use-after-free in aio_del_req_from_fsp during smbd shutdown
 219      after failed IPC FSCTL_PIPE_TRANSCEIVE.
 220    * BUG 15426: clidfs.c do_connect() missing a "return" after a cli_shutdown()
 221      call.
 222
 223 o  Ralph Boehme <slow@samba.org>
 224    * BUG 15463: macOS mdfind returns only 50 results.
 225
 226 o  Volker Lendecke <vl@samba.org>
 227    * BUG 15481: GETREALFILENAME_CACHE can modify incoming new filename with
 228      previous cache entry value.
 229
 230 o  Stefan Metzmacher <metze@samba.org>
 231    * BUG 15464: libnss_winbind causes memory corruption since samba-4.18,
 232      impacts sendmail, zabbix, potentially more.
 233
 234 o  Martin Schwenke <mschwenke@ddn.com>
 235    * BUG 15479: ctdbd: setproctitle not initialized messages flooding logs.
 236
 237 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 238    * BUG 15491: CVE-2023-5568 Heap buffer overflow with freshness tokens in the
 239      Heimdal KDC in Samba 4.19
 240    * BUG 15477: The heimdal KDC doesn't detect s4u2self correctly when fast is
 241      in use.
 242
 243
 244 #######################################
 245 Reporting bugs & Development Discussion
 246 #######################################
 247
 248 Please discuss this release on the samba-technical mailing list or by
 249 joining the #samba-technical:matrix.org matrix room, or
 250 #samba-technical IRC channel on irc.libera.chat.
 251
 252 If you do report problems then please try to send high quality
 253 feedback. If you don't provide vital information to help us track down
 254 the problem then you will probably be ignored.  All bug reports should
 255 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 256 database (https://bugzilla.samba.org/).
 257
 258
 259 ======================================================================
 260 == Our Code, Our Bugs, Our Responsibility.
 261 == The Samba Team
 262 ======================================================================
 263
 264
 265 ----------------------------------------------------------------------
 266                    ==============================
 267                    Release Notes for Samba 4.19.1
 268                           October 10, 2023
 269                    ==============================
 270
 271
 272 This is a security release in order to address the following defects:
 273
 274
 275 o CVE-2023-3961:  Unsanitized pipe names allow SMB clients to connect as root to
 276                   existing unix domain sockets on the file system.
 277                   https://www.samba.org/samba/security/CVE-2023-3961.html
 278
 279 o CVE-2023-4091:  SMB client can truncate files to 0 bytes by opening files with
 280                   OVERWRITE disposition when using the acl_xattr Samba VFS
 281                   module with the smb.conf setting
 282                   "acl_xattr:ignore system acls = yes"
 283                   https://www.samba.org/samba/security/CVE-2023-4091.html
 284
 285 o CVE-2023-4154:  An RODC and a user with the GET_CHANGES right can view all
 286                   attributes, including secrets and passwords.  Additionally,
 287                   the access check fails open on error conditions.
 288                   https://www.samba.org/samba/security/CVE-2023-4154.html
 289
 290 o CVE-2023-42669: Calls to the rpcecho server on the AD DC can request that the
 291                   server block for a user-defined amount of time, denying
 292                   service.
 293                   https://www.samba.org/samba/security/CVE-2023-42669.html
 294
 295 o CVE-2023-42670: Samba can be made to start multiple incompatible RPC
 296                   listeners, disrupting service on the AD DC.
 297                   https://www.samba.org/samba/security/CVE-2023-42670.html
 298
 299
 300 Changes since 4.19.0
 301 --------------------
 302
 303 o  Jeremy Allison <jra@samba.org>
 304    * BUG 15422: CVE-2023-3961.
 305
 306 o  Andrew Bartlett <abartlet@samba.org>
 307    * BUG 15424: CVE-2023-4154.
 308    * BUG 15473: CVE-2023-42670.
 309    * BUG 15474: CVE-2023-42669.
 310
 311 o  Ralph Boehme <slow@samba.org>
 312    * BUG 15439: CVE-2023-4091.
 313
 314
 315 #######################################
 316 Reporting bugs & Development Discussion
 317 #######################################
 318
 319 Please discuss this release on the samba-technical mailing list or by
 320 joining the #samba-technical:matrix.org matrix room, or
 321 #samba-technical IRC channel on irc.libera.chat.
 322
 323 If you do report problems then please try to send high quality
 324 feedback. If you don't provide vital information to help us track down
 325 the problem then you will probably be ignored.  All bug reports should
 326 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 327 database (https://bugzilla.samba.org/).
 328
 329
 330 ======================================================================
 331 == Our Code, Our Bugs, Our Responsibility.
 332 == The Samba Team
 333 ======================================================================
 334
 335
 336 ----------------------------------------------------------------------
 337                    ==============================
 338                    Release Notes for Samba 4.19.0
 339                          September 04, 2023
 340                    ==============================
 341
 342 This is the first stable release of the Samba 4.19 release series.
 343 Please read the release notes carefully before upgrading.
 344
 345 NEW FEATURES/CHANGES
 346 ====================
 347
 348 Migrated smbget to use common command line parser
 349 -------------------------------------------------
 350
 351 The smbget utility implemented its own command line parsing logic. After
 352 discovering an issue we decided to migrate it to use the common command line
 353 parser. This has some advantages as you get all the feature it provides like
 354 Kerberos authentication. The downside is that breaks the options interface.
 355 The support for smbgetrc has been removed. You can use an authentication file
 356 if needed, this is documented in the manpage.
 357
 358 Please check the smbget manpage or --help output.
 359
 360 gpupdate changes
 361 ----------------
 362
 363 The libgpo.get_gpo_list function has been deprecated in favor of
 364 an implementation written in python. The new function can be imported via
 365 `import samba.gp`. The python implementation connects to Active Directory
 366 using the SamDB module, instead of ADS (which is what libgpo uses).
 367
 368 Improved winbind logging and a new tool for parsing the winbind logs
 369 --------------------------------------------------------------------
 370
 371 Winbind logs (if smb.conf 'winbind debug traceid = yes' is set) contain new
 372 trace header fields 'traceid' and 'depth'.  Field 'traceid' allows to track the
 373 trace records belonging to the same request.  Field 'depth' allows to track the
 374 request nesting level. A new tool samba-log-parser is added for better log
 375 parsing.
 376
 377 AD database prepared to FL 2016 standards for new domains
 378 ---------------------------------------------------------
 379
 380 While Samba still provides only Functional Level 2008R2 by default,
 381 Samba as an AD DC will now, in provision ensure that the blank
 382 database is already prepared for Functional Level 2016, with AD Schema
 383 2019.
 384
 385 This preparation is of the default objects in the database, adding
 386 containers for Authentication Policies, Authentication Silos and AD
 387 claims in particular.  These DB objects must be updated to allow
 388 operation of the new features found in higher functional levels.
 389
 390 Kerberos Claims, Authentication Silos and NTLM authentication policies
 391 ----------------------------------------------------------------------
 392
 393 An initial, partial implementation of Active Directory Functional
 394 Level 2012, 2012R2 and 2016 is available in this release.
 395
 396 In particular Samba will issue Active Directory "Claims" in the PAC,
 397 for member servers that support these, and honour in-directory
 398 configuration for Authentication Policies and Authentication Silos.
 399
 400 The primary limitation is that while Samba can read and write claims
 401 in the directory, and populate the PAC, Samba does not yet use them
 402 for access control decisions.
 403
 404 While we continue to develop these features, existing domains can
 405 test the feature by selecting the functional level in provision or
 406 raising the DC functional level by setting
 407
 408  ad dc functional level = 2016
 409
 410 in the smb.conf
 411
 412 The smb.conf file on each DC must have 'ad dc functional level = 2016'
 413 set to have the partially complete feature available.  This will also,
 414 at first startup, update the server's own AD entry with the configured
 415 functional level.
 416
 417 For new domains, add these parameters to 'samba-tool provision'
 418
 419 --option="ad dc functional level = 2016" --function-level=2016
 420
 421 The second option, setting the overall domain functional level
 422 indicates that all DCs should be at this functional level.
 423
 424 To raise the domain functional level of an existing domain, after
 425 updating the smb.conf and restarting Samba run
 426 samba-tool domain schemaupgrade --schema=2019
 427 samba-tool domain functionalprep --function-level=2016
 428 samba-tool domain level raise --domain-level=2016 --forest-level=2016
 429
 430 Improved KDC Auditing
 431 ---------------------
 432
 433 As part of the auditing required to allow successful deployment of
 434 Authentication Policies and Authentication Silos, our KDC now provides
 435 Samba-style JSON audit logging of all issued Kerberos tickets,
 436 including if they would fail a policy that is not yet enforced.
 437 Additionally most failures are audited, (after the initial
 438 pre-validation of the request).
 439
 440 Kerberos Armoring (FAST) Support for Windows clients
 441 ----------------------------------------------------
 442
 443 In domains where the domain controller functional level is set, as
 444 above, to 2012, 2012_R2 or 2016, Windows clients will, if configured
 445 via GPO, use FAST to protect user passwords between (in particular) a
 446 workstation and the KDC on the AD DC.  This is a significant security
 447 improvement, as weak passwords in an AS-REQ are no longer available
 448 for offline attack.
 449
 450 Claims compression in the AD PAC
 451 --------------------------------
 452
 453 Samba as an AD DC will compress "AD claims" using the same compression
 454 algorithm as Microsoft Windows.
 455
 456 Resource SID compression in the AD PAC
 457 --------------------------------------
 458
 459 Samba as an AD DC will now correctly populate the various PAC group
 460 membership buffers, splitting global and local groups correctly.
 461
 462 Additionally, Samba marshals Resource SIDs, being local groups in the
 463 member server's own domain, to only consume a header and 4 bytes per
 464 group in the PAC, not a full-length SID worth of space each.  This is
 465 known as "Resource SID compression".
 466
 467 Resource Based Constrained Delegation (RBCD) support in both MIT and Heimdal
 468 -----------------------------------------------------------------------------
 469
 470 Samba AD DC built with MIT Kerberos (1.20 and later) has offered RBCD
 471 support since Samba 4.17.  Samba 4.19 brings this feature to the
 472 default Heimdal KDC.
 473
 474 Samba 4.17 added to samba-tool delegation the 'add-principal' and
 475 'del-principal' subcommands in order to manage RBCD, and the database
 476 changes made by these tools are now honoured by the Heimdal KDC once
 477 Samba is upgraded.
 478
 479 Likewise, now both MIT (1.20 and later) and Heimdal KDCs add the
 480 Asserted Identity [1] SID into the PAC for constrained delegation.
 481
 482 [1] https://docs.microsoft.com/en-us/windows-server/security/kerberos/kerberos-constrained-delegation-overview
 483
 484 New samba-tool support for silos, claims, sites and subnets.
 485 ------------------------------------------------------------
 486
 487 samba-tool can now list, show, add and manipulate Authentication Silos
 488 (silos) and Active Directory Authentication Claims (claims).
 489
 490 samba-tool can now list and show Active Directory sites and subnets.
 491
 492 A new Object Relational Model (ORM) based architecture, similar to
 493 that used with Django, has been built to make adding new samba-tool
 494 subcommands simpler and more consistent, with JSON output available
 495 standard on these new commands.
 496
 497 Updated GnuTLS requirement / in-tree cryptography removal
 498 ----------------------------------------------------------
 499
 500 Samba requires GnuTLS 3.6.13 and prefers GnuTLS 3.6.14 or later.
 501
 502 This has allowed Samba to remove all of our in-tree cryptography,
 503 except that found in our Heimdal import.  Samba's runtime cryptography
 504 needs are now all provided by GnuTLS.
 505
 506 (The GnuTLS vesion requirement is raised to 3.7.2 on systems without
 507 the Linux getrandom())
 508
 509 We also use Python's cryptography module for our testing.
 510
 511 The use of well known cryptography libraries makes Samba easier for
 512 end-users to validate and deploy, and for distributors to ship.  This
 513 is the end of a very long journey for Samba.
 514
 515 Updated Heimdal import
 516 ----------------------
 517
 518 Samba's Heimdal branch (known as lorikeet-heimdal) has been updated to
 519 the current pre-8.0 (master) tree from upstream Heimdal, ensuring that
 520 this vendored copy, included in our release remains as close as
 521 possible to the current upstream code.
 522
 523 Revocation support in Heimdal KDC for PKINIT certificates
 524 ---------------------------------------------------------
 525
 526 Samba will now correctly honour the revocation of 'smart card'
 527 certificates used for PKINIT Kerberos authentication.
 528
 529 This list is reloaded each time the file changes, so no further action
 530 other than replacing the file is required.  The additional krb5.conf
 531 option is:
 532
 533  [kdc]
 534         pkinit_revoke = FILE:/path/to/crl.pem
 535
 536 Information on the "Smart Card login" feature as a whole is at:
 537  https://wiki.samba.org/index.php/Samba_AD_Smart_Card_Login
 538
 539 Protocol level testsuite for (Smart Card Logon) PKINIT
 540 ------------------------------------------------------
 541
 542 Previously Samba's PKINIT support in the KDC was tested by use of
 543 shell scripts around the client tools of MIT or Heimdal Kerberos.
 544 Samba's independently written python testsuite has been extended to
 545 validate KDC behaviour for PKINIT.
 546
 547 Require encrypted connection to modify unicodePwd on the AD DC
 548 --------------------------------------------------------------
 549
 550 Setting the password on an AD account on should never be attempted
 551 over a plaintext or signed-only LDAP connection.  If the unicodePwd
 552 (or userPassword) attribute is modified without encryption (as seen by
 553 Samba), the request will be rejected.  This is to encourage the
 554 administrator to use an encrypted connection in the future.
 555
 556 NOTE WELL: If Samba is accessed via a TLS frontend or load balancer,
 557 the LDAP request will be regarded as plaintext.
 558
 559 Samba AD TLS Certificates can be reloaded
 560 -----------------------------------------
 561
 562 The TLS certificates used for Samba's AD DC LDAP server were
 563 previously only read on startup, and this meant that when then expired
 564 it was required to restart Samba, disrupting service to other users.
 565
 566  smbcontrol ldap_server reload-certs
 567
 568 This will now allow these certificates to be reloaded 'on the fly'
 569
 570 ================
 571 REMOVED FEATURES
 572 ================
 573
 574
 575 smb.conf changes
 576 ================
 577
 578   Parameter Name                          Description     Default
 579   --------------                          -----------     -------
 580   winbind debug traceid                   Add traceid     No
 581   directory name cache size               Removed
 582
 583
 584 CHANGES SINCE 4.19.0rc4
 585 =======================
 586
 587 o  MikeLiu <mikeliu@qnap.com>
 588    * BUG 15453: File doesn't show when user doesn't have permission if
 589      aio_pthread is loaded.
 590
 591 o  Martin Schwenke <mschwenke@ddn.com>
 592    * BUG 15451: ctdb_killtcp fails to work with --enable-pcap and libpcap ≥
 593      1.9.1.
 594
 595
 596 CHANGES SINCE 4.19.0rc3
 597 =======================
 598
 599 o  Martin Schwenke <mschwenke@ddn.com>
 600    * BUG 15460: Logging to stdout/stderr with DEBUG_SYSLOG_FORMAT_ALWAYS can log
 601      to syslog.
 602
 603 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 604    * BUG 15458: ‘samba-tool domain level raise’ fails unless given a URL.
 605
 606
 607 CHANGES SINCE 4.19.0rc2
 608 =======================
 609
 610 o  Jeremy Allison <jra@samba.org>
 611    * BUG 15420: reply_sesssetup_and_X() can dereference uninitialized tmp
 612      pointer.
 613    * BUG 15430: missing return in reply_exit_done().
 614    * BUG 15432: TREE_CONNECT without SETUP causes smbd to use uninitialized
 615      pointer.
 616
 617 o  Andrew Bartlett <abartlet@samba.org>
 618    * BUG 15401: Avoid infinite loop in initial user sync with Azure AD Connect
 619      when synchronising a large Samba AD domain.
 620    * BUG 15407: Samba replication logs show (null) DN.
 621
 622 o  Stefan Metzmacher <metze@samba.org>
 623    * BUG 15346: 2-3min delays at reconnect with smb2_validate_sequence_number:
 624      bad message_id 2.
 625    * BUG 15446: DCERPC_PKT_CO_CANCEL and DCERPC_PKT_ORPHANED can't be parsed.
 626
 627 o  Martin Schwenke <mschwenke@ddn.com>
 628    * BUG 15438: CID 1539212 causes real issue when output contains only
 629      newlines.
 630
 631 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 632    * BUG 15452: KDC encodes INT64 claims incorrectly.
 633
 634 o  Jones Syue <jonessyue@qnap.com>
 635    * BUG 15449: mdssvc: Do an early talloc_free() in _mdssvc_open().
 636
 637
 638 CHANGES SINCE 4.19.0rc1
 639 =======================
 640
 641 o  Andrew Bartlett <abartlet@samba.org>
 642    * BUG 9959: Windows client join fails if a second container CN=System exists
 643     somewhere.
 644
 645 o  Noel Power <noel.power@suse.com>
 646    * BUG 15435: regression DFS not working with widelinks = true.
 647
 648 o  Arvid Requate <requate@univention.de>
 649    * BUG 9959: Windows client join fails if a second container CN=System exists
 650     somewhere.
 651
 652 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 653    * BUG 15443: Heimdal fails to build on 32-bit FreeBSD.
 654
 655 o  Jones Syue <jonessyue@qnap.com>
 656    * BUG 15441: samba-tool ntacl get segfault if aio_pthread appended.
 657
 658
 659 KNOWN ISSUES
 660 ============
 661
 662 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.19#Release_blocking_bugs
 663
 664
 665 #######################################
 666 Reporting bugs & Development Discussion
 667 #######################################
 668
 669 Please discuss this release on the samba-technical mailing list or by
 670 joining the #samba-technical:matrix.org matrix room, or
 671 #samba-technical IRC channel on irc.libera.chat
 672
 673 If you do report problems then please try to send high quality
 674 feedback. If you don't provide vital information to help us track down
 675 the problem then you will probably be ignored.  All bug reports should
 676 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 677 database (https://bugzilla.samba.org/).
 678
 679
 680 ======================================================================
 681 == Our Code, Our Bugs, Our Responsibility.
 682 == The Samba Team
 683 ======================================================================
 684