WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.10.9
   3                           October 17, 2019
   4                    ==============================
   5
   6
   7
   8 Changes since 4.10.8:
   9 ---------------------
  10
  11 o  Michael Adam <obnox@samba.org>
  12    * BUG 13972: Different Device Id for GlusterFS FUSE mount is causing data
  13      loss in CTDB cluster.
  14    * BUG 14141: winbind: Provide passwd struct for group sid with ID_TYPE_BOTH
  15      mapping (again).
  16
  17 o  Jeremy Allison <jra@samba.org>
  18    * BUG 14094: smbc_readdirplus() is incompatible with smbc_telldir() and
  19      smbc_lseekdir().
  20    * BUG 14152: s3: smbclient: Stop an SMB2-connection from blundering into
  21      SMB1-specific calls.
  22
  23 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
  24    * BUG 13978: s4/scripting: MORE py3 compatible print functions.
  25
  26 o  Andrew Bartlett <abartlet@samba.org>
  27    * ldb: Release ldb 1.5.6
  28    * BUG 13978: undoduididx: Add "or later" to warning about using tools from
  29      Samba 4.8.
  30    * BUG 13959: ldb_tdb fails to check error return when parsing pack formats.
  31
  32 o  Ralph Boehme <slow@samba.org>
  33    * BUG 14038: ctdb: Fix compilation on systems with glibc robust mutexes.
  34
  35 o  Isaac Boukris <iboukris@gmail.com>
  36    * BUG 11362: GPO security filtering based on the groups in Kerberos PAC (but
  37      primary group is missing).
  38    * BUG 14106: Fix spnego fallback from kerberos to ntlmssp in smbd server.
  39
  40 o  Günther Deschner <gd@samba.org>
  41    * BUG 14130: s3-winbindd: fix forest trusts with additional trust attributes.
  42
  43 o  Poornima G <pgurusid@redhat.com>
  44    * BUG 14098: vfs_glusterfs: Use pthreadpool for scheduling aio operations.
  45
  46 o  Aaron Haslett <aaronhaslett@catalyst.net.nz>
  47    * BUG 13977: ldb: baseinfo pack format check on init.
  48    * BUG 13978: ldb: ldbdump key and pack format version comments.
  49
  50 o  Amitay Isaacs <amitay@gmail.com>
  51    * BUG 14140: Overlinking libreplace against librt and pthread against every
  52      binary or library causes issues.
  53    * BUG 14147: ctdb-vacuum: Process all records not deleted on a remote node.
  54
  55 o  Björn Jacke <bj@sernet.de>
  56    * BUG 14136: classicupgrade: Fix uncaught exception.
  57    * BUG 14139: fault.c: Improve fault_report message text pointing to our wiki.
  58
  59 o  Bryan Mason <bmason@redhat.com>
  60    * BUG 14128: s3:client:Use DEVICE_URI, instead of argv[0],for Device URI.
  61
  62 o  Stefan Metzmacher <metze@samba.org>
  63    * BUG 14055: We should send SMB2_NETNAME_NEGOTIATE_CONTEXT_ID negotiation
  64      context.
  65    * BUG 14124: 'pam_winbind' with 'krb5_auth' or 'wbinfo -K' doesn't work for
  66      users of trusted domains/forests principals" logic.
  67
  68 o  Anoop C S <anoopcs@redhat.com>
  69    * BUG 14093: vfs_glusterfs: Enable profiling for file system operations.
  70
  71 o  Christof Schmitt <cs@samba.org>
  72    * BUG 14032: vfs_gpfs: Implement special case for denying owner access to
  73      ACL.
  74
  75 o  Andreas Schneider <asn@samba.org>
  76    * BUG 13884: Joining Active Directory should not use SAMR to set the
  77      password.
  78    * BUG 14106: s3:libsmb: Do not check the SPNEGO neg token for KRB5.
  79    * BUG 14140: Overlinking libreplace against librt and pthread against every
  80      binary or library causes issues.
  81    * BUG 14155: 'kpasswd' fails when built with MIT Kerberos.
  82
  83 o  Martin Schwenke <martin@meltin.net>
  84    * BUG 14084: CTDB replies can be lost before nodes are bidirectionally
  85      connected.
  86    * BUG 14087: "ctdb stop" command completes before databases are frozen.
  87    * BUG 14129: ctdb-tools: Stop deleted nodes from influencing ctdb nodestatus
  88      exit code.
  89
  90 o  Evgeny Sinelnikov <sin@altlinux.org>
  91    * BUG 14007: s3:ldap: Fix join with don't exists machine account.
  92
  93
  94 #######################################
  95 Reporting bugs & Development Discussion
  96 #######################################
  97
  98 Please discuss this release on the samba-technical mailing list or by
  99 joining the #samba-technical IRC channel on irc.freenode.net.
 100
 101 If you do report problems then please try to send high quality
 102 feedback. If you don't provide vital information to help us track down
 103 the problem then you will probably be ignored.  All bug reports should
 104 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 105 database (https://bugzilla.samba.org/).
 106
 107
 108 ======================================================================
 109 == Our Code, Our Bugs, Our Responsibility.
 110 == The Samba Team
 111 ======================================================================
 112
 113
 114 Release notes for older releases follow:
 115 ----------------------------------------
 116
 117                    ==============================
 118                    Release Notes for Samba 4.10.8
 119                           September 3, 2019
 120                    ==============================
 121
 122
 123 This is a security release in order to address the following defect:
 124
 125 o  CVE-2019-10197: Combination of parameters and permissions can allow user
 126                    to escape from the share path definition.
 127
 128 =======
 129 Details
 130 =======
 131
 132 o  CVE-2019-10197:
 133    Under certain parameter configurations, when an SMB client accesses a network
 134    share and the user does not have permission to access the share root
 135    directory, it is possible for the user to escape from the share to see the
 136    complete '/' filesystem. Unix permission checks in the kernel are still
 137    enforced.
 138
 139
 140 Changes since 4.10.7:
 141 ---------------------
 142
 143 o  Jeremy Allison <jra@samba.org>
 144    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
 145      from the share.
 146
 147 o  Stefan Metzmacher <metze@samba.org>
 148    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
 149      from the share.
 150
 151
 152 #######################################
 153 Reporting bugs & Development Discussion
 154 #######################################
 155
 156 Please discuss this release on the samba-technical mailing list or by
 157 joining the #samba-technical IRC channel on irc.freenode.net.
 158
 159 If you do report problems then please try to send high quality
 160 feedback. If you don't provide vital information to help us track down
 161 the problem then you will probably be ignored.  All bug reports should
 162 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 163 database (https://bugzilla.samba.org/).
 164
 165
 166 ======================================================================
 167 == Our Code, Our Bugs, Our Responsibility.
 168 == The Samba Team
 169 ======================================================================
 170
 171
 172 ----------------------------------------------------------------------
 173
 174
 175                    ==============================
 176                    Release Notes for Samba 4.10.7
 177                            August 22, 2019
 178                    ==============================
 179
 180
 181 This is the latest stable release of the Samba 4.10 release series.
 182
 183
 184 Changes since 4.10.6:
 185 ---------------------
 186
 187 o  Michael Adam <obnox@samba.org>
 188    * BUG 14010: Unable to create or rename file/directory inside shares
 189      configured with vfs_glusterfs_fuse module.
 190
 191 o  Andrew Bartlett <abartlet@samba.org>
 192    * BUG 13844: build: Allow build when '--disable-gnutls' is set.
 193
 194 o  Björn Baumbach <bb@sernet.de>
 195    * BUG 13973: samba-tool: Add 'import samba.drs_utils' to fsmo.py.
 196
 197 o  Tim Beale <timbeale@catalyst.net.nz>
 198    * BUG 14008: Fix 'Error 32 determining PSOs in system' message on old DB
 199      with FL upgrade.
 200    * BUG 14021: s4/libnet: Fix joining a Windows pre-2008R2 DC.
 201    * BUG 14046: join: Use a specific attribute order for the DsAddEntry
 202      nTDSDSA object.
 203
 204 o  Ralph Boehme <slow@samba.org>
 205    * BUG 14015: vfs_catia: Pass stat info to synthetic_smb_fname().
 206
 207 o  Alexander Bokovoy <ab@samba.org>
 208    * BUG 14091: lookup_name: Allow own domain lookup when flags == 0.
 209
 210 o  Gary Lockyer <gary@catalyst.net.nz>
 211    * BUG 13932: s4 librpc rpc pyrpc: Ensure tevent_context deleted last.
 212
 213 o  Stefan Metzmacher <metze@samba.org>
 214    * BUG 13915: DEBUGC and DEBUGADDC doesn't print into a class specific log
 215      file.
 216    * BUG 13949: Request to keep deprecated option "server schannel",
 217      VMWare Quickprep requires "auto".
 218    * BUG 13967: dbcheck: Fallback to the default tombstoneLifetime of 180 days.
 219    * BUG 13969: dnsProperty fails to decode values from older Windows versions.
 220    * BUG 13973: samba-tool: Use only one LDAP modify for dns partition fsmo
 221      role transfer.
 222
 223 o  Andreas Schneider <asn@samba.org>
 224    * BUG 13960: third_party: Update waf to version 2.0.17.
 225
 226 o  Garming Sam <garming@catalyst.net.nz>
 227    * BUG 14051: netcmd: Allow 'drs replicate --local' to create partitions.
 228
 229 o  Rafael David Tinoco <rafaeldtinoco@ubuntu.com>
 230    * BUG 14017: ctdb-config: Depend on /etc/ctdb/nodes file.
 231
 232
 233 #######################################
 234 Reporting bugs & Development Discussion
 235 #######################################
 236
 237 Please discuss this release on the samba-technical mailing list or by
 238 joining the #samba-technical IRC channel on irc.freenode.net.
 239
 240 If you do report problems then please try to send high quality
 241 feedback. If you don't provide vital information to help us track down
 242 the problem then you will probably be ignored.  All bug reports should
 243 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 244 database (https://bugzilla.samba.org/).
 245
 246
 247 ======================================================================
 248 == Our Code, Our Bugs, Our Responsibility.
 249 == The Samba Team
 250 ======================================================================
 251
 252
 253 ----------------------------------------------------------------------
 254
 255
 256                    ==============================
 257                    Release Notes for Samba 4.10.6
 258                            July 8, 2019
 259                    ==============================
 260
 261
 262 This is the latest stable release of the Samba 4.10 release series.
 263
 264
 265 Changes since 4.10.5:
 266 ---------------------
 267
 268 o  Jeremy Allison <jra@samba.org>
 269    * BUG 13956: s3: winbind: Fix crash when invoking winbind idmap scripts.
 270    * BUG 13964: smbd does not correctly parse arguments passed to dfree and
 271      quota scripts.
 272
 273 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 274    * BUG 13965: samba-tool dns: use bytes for inet_ntop.
 275
 276 o  Andrew Bartlett <abartlet@samba.org>
 277    * BUG 13828: samba-tool domain provision: Fix --interactive module in
 278      python3.
 279    * BUG 13893: ldb_kv: Skip @ records early in a search full scan.
 280    * BUG 13981: docs: Improve documentation of "lanman auth" and "ntlm auth"
 281      connection.
 282
 283 o  Björn Baumbach <bb@sernet.de>
 284    * BUG 14002: python/ntacls: Use correct "state directory" smb.conf option
 285      instead of "state dir".
 286
 287 o  Ralph Boehme <slow@samba.org>
 288    * BUG 13840: registry: Add a missing include.
 289    * BUG 13944: Fix SMB guest authentication.
 290    * BUG 13958: AppleDouble conversion breaks Resourceforks.
 291    * BUG 13968: vfs_fruit makes direct use of syscalls like mmap() and pread().
 292    * BUG 13987: s3:mdssvc: Fix flex compilation error.
 293
 294 o  Günther Deschner <gd@samba.org>
 295    * BUG 13872: s3/vfs_glusterfs[_fuse]: Avoid using NAME_MAX directly:
 296
 297 o  Aaron Haslett <aaronhaslett@catalyst.net.nz>
 298    * BUG 13799: dsdb:samdb: schemainfo update with relax control.
 299
 300 o  Aliaksei Karaliou <akaraliou@panasas.com>
 301    * BUG 13964: s3:util: Move static file_pload() function to lib/util.
 302
 303 o  Volker Lendecke <vl@samba.org>
 304    * BUG 13957: smbd: Fix a panic.
 305
 306 o  Gary Lockyer <gary@catalyst.net.nz>
 307    * BUG 12478: ldap server: Generate correct referral schemes.
 308    * BUG 13941: s4 dsdb/repl_meta_data: fix use after free in
 309      dsdb_audit_add_ldb_value.
 310    * BUG 13942: s4 dsdb: Fix use after free in
 311      samldb_rename_search_base_callback.
 312
 313 o  Stefan Metzmacher <metze@samba.org>
 314    * BUG 12204: dsdb/repl: we need to replicate the whole schema before we can
 315      apply it.
 316    * BUG 12478: ldb: Release ldb 1.5.5
 317    * BUG 13713: Schema replication fails if link crosses chunk boundary
 318      backwards.
 319    * BUG 13799: 'samba-tool domain schemaupgrade' uses relax control and skips
 320      the schemaInfo update provision.
 321    * BUG 13916: dsdb_audit: avoid printing "... remote host [Unknown]
 322      SID [(NULL SID)] ..."
 323    * BUG 13917: python/ntacls: We only need security.SEC_STD_READ_CONTROL in
 324      order to get the ACL.
 325
 326 o  Shyamsunder Rathi <shyam.rathi@nutanix.com>
 327    * BUG 13947: s3:loadparm: Ensure to truncate FS Volume Label at multibyte
 328      boundary.
 329
 330 o  Andreas Schneider <asn@samba.org>
 331    * BUG 13939: Using Kerberos credentials to print using spoolss doesn't work.
 332
 333 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 334    * BUG 13998: wafsamba: Use native waf timer.
 335
 336 o  Rafael David Tinoco <rafaeldtinoco@ubuntu.com>
 337    * BUG 13984: ctdb-scripts: Fix tcp_tw_recycle existence check.
 338
 339
 340 #######################################
 341 Reporting bugs & Development Discussion
 342 #######################################
 343
 344 Please discuss this release on the samba-technical mailing list or by
 345 joining the #samba-technical IRC channel on irc.freenode.net.
 346
 347 If you do report problems then please try to send high quality
 348 feedback. If you don't provide vital information to help us track down
 349 the problem then you will probably be ignored.  All bug reports should
 350 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 351 database (https://bugzilla.samba.org/).
 352
 353
 354 ======================================================================
 355 == Our Code, Our Bugs, Our Responsibility.
 356 == The Samba Team
 357 ======================================================================
 358
 359
 360 ----------------------------------------------------------------------
 361
 362
 363                    ==============================
 364                    Release Notes for Samba 4.10.5
 365                            June 19, 2019
 366                    ==============================
 367
 368
 369 This is a security release in order to address the following defects:
 370
 371 o  CVE-2019-12435 (Samba AD DC Denial of Service in DNS management server
 372                   (dnsserver))
 373 o  CVE-2019-12436 (Samba AD DC LDAP server crash (paged searches))
 374
 375 =======
 376 Details
 377 =======
 378
 379 o  CVE-2019-12435:
 380    An authenticated user can crash the Samba AD DC's RPC server process via a
 381    NULL pointer dereference.
 382
 383 o  CVE-2019-12436:
 384     An user with read access to the directory can cause a NULL pointer
 385     dereference using the paged search control.
 386
 387 For more details and workarounds, please refer to the security advisories.
 388
 389
 390 Changes since 4.10.4:
 391 ---------------------
 392
 393 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 394    * BUG 13922: CVE-2019-12435 rpc/dns: Avoid NULL deference if zone not found
 395      in DnssrvOperation2.
 396    * BUG 13951: CVE-2019-12436 dsdb/paged_results: Ignore successful results
 397      without messages.
 398
 399
 400 #######################################
 401 Reporting bugs & Development Discussion
 402 #######################################
 403
 404 Please discuss this release on the samba-technical mailing list or by
 405 joining the #samba-technical IRC channel on irc.freenode.net.
 406
 407 If you do report problems then please try to send high quality
 408 feedback. If you don't provide vital information to help us track down
 409 the problem then you will probably be ignored.  All bug reports should
 410 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 411 database (https://bugzilla.samba.org/).
 412
 413
 414 ======================================================================
 415 == Our Code, Our Bugs, Our Responsibility.
 416 == The Samba Team
 417 ======================================================================
 418
 419
 420 ----------------------------------------------------------------------
 421
 422
 423                    ==============================
 424                    Release Notes for Samba 4.10.4
 425                             May 22, 2019
 426                    ==============================
 427
 428
 429 This is the latest stable release of the Samba 4.10 release series.
 430
 431
 432 Changes since 4.10.3:
 433 ---------------------
 434
 435 o  Jeremy Allison <jra@samba.org>
 436    * BUG 13938: s3: SMB1: Don't allow recvfile on stream fsp's.
 437
 438 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 439    * BUG 13882: py/provision: Fix for Python 2.6.
 440
 441 o  Tim Beale <timbeale@catalyst.net.nz>
 442    * BUG 13873: netcmd: Fix 'passwordsettings --max-pwd-age' command.
 443
 444 o  Ralph Boehme <slow@samba.org>
 445    * BUG 13938: s3:smbd: Don't use recvfile on streams.
 446
 447 o  Günther Deschner <gd@samba.org>
 448    * BUG 13861: s3-libnet_join: 'net ads join' to child domain fails when using
 449      "-U admin@forestroot".
 450
 451 o  David Disseldorp <ddiss@samba.org>
 452    * BUG 13896: vfs_ceph: Explicitly enable libcephfs POSIX ACL support.
 453    * BUG 13940: vfs_ceph: Fix cephwrap_flistxattr() debug message.
 454
 455 o  Amitay Isaacs <amitay@gmail.com>
 456    * BUG 13895: ctdb-common: Avoid race between fd and signal events.
 457    * BUG 13943: ctdb-common: Fix memory leak in run_proc.
 458
 459 o  Volker Lendecke <vl@samba.org>
 460    * BUG 13892: lib: Initialize getline() arguments.
 461    * BUG 13903: winbind: Fix overlapping id ranges.
 462
 463 o  Gary Lockyer <gary@catalyst.net.nz>
 464    * BUG 13902: lib util debug: Increase format buffer to 4KiB.
 465    * BUG 13927: nsswitch pam_winbind: Fix Asan use after free.
 466    * BUG 13929: s4 lib socket: Ensure address string owned by parent struct.
 467    * BUG 13936: s3 rpc_client: Fix Asan stack use after scope.
 468
 469 o  Stefan Metzmacher <metze@samba.org>
 470    * BUG 10097: s3:smbd: Handle IO_REPARSE_TAG_DFS in
 471      SMB_FIND_FILE_FULL_DIRECTORY_INFO.
 472    * BUG 10344: smb2_tcon: Avoid STATUS_PENDING completely on tdis.
 473    * BUG 12845: smb2_sesssetup: avoid STATUS_PENDING responses for session
 474      setup.
 475    * BUG 13698: smb2_tcon: Avoid STATUS_PENDING completely on tdis.
 476    * BUG 13796: smb2_sesssetup: avoid STATUS_PENDING responses for session
 477      setup.
 478    * BUG 13843: dbcheck: Fix the err_empty_attribute() check.
 479    * BUG 13858: vfs_snapper: Drop unneeded fstat handler.
 480    * BUG 13862: vfs_default: Fix vfswrap_offload_write_send()
 481      NT_STATUS_INVALID_VIEW_SIZE check.
 482    * BUG 13863: smb2_server: Grant all 8192 credits to clients.
 483    * BUG 13919: smbd: Implement SMB_FILE_NORMALIZED_NAME_INFORMATION handling.
 484
 485 o  Anoop C S <anoopcs@redhat.com>
 486    * BUG 13872: s3/vfs_glusterfs: Dynamically determine NAME_MAX.
 487
 488 o  Robert Sander <r.sander@heinlein-support.de>
 489    * BUG 13918: s3: modules: ceph: Use current working directory instead of
 490      share path.
 491
 492 o  Christof Schmitt <cs@samba.org>
 493    * BUG 13831: winbind: Use domain name from lsa query for sid_to_name cache
 494      entry.
 495    * BUG 13865: memcache: Increase size of default memcache to 512k.
 496
 497 o  Andreas Schneider <asn@samba.org>
 498    * BUG 13857: docs: Update smbclient manpage for "--max-protocol".
 499    * BUG 13861: 'net ads join' to child domain fails when using
 500      "-U admin@forestroot".
 501    * BUG 13937: s3:utils: If share is NULL in smbcacls, don't print it.
 502    * BUG 13939: s3:smbspool: Fix regression printing with Kerberos credentials.
 503
 504 o  Martin Schwenke <martin@meltin.net>
 505    * BUG 13860: ctdb-scripts: CTDB restarts failed NFS RPC services by hand,
 506      which is incompatible with systemd.
 507    * BUG 13888: ctdb-daemon: Revert "We can not assume that just because we
 508      could complete a TCP handshake".
 509    * BUG 13930: ctdb-daemon: Never use 0 as a client ID.
 510    * BUG 13943: ctdb-common: Fix memory leak.
 511
 512 o  Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 513    * BUG 13904: s3:debug: Enable logging for early startup failures.
 514
 515
 516 #######################################
 517 Reporting bugs & Development Discussion
 518 #######################################
 519
 520 Please discuss this release on the samba-technical mailing list or by
 521 joining the #samba-technical IRC channel on irc.freenode.net.
 522
 523 If you do report problems then please try to send high quality
 524 feedback. If you don't provide vital information to help us track down
 525 the problem then you will probably be ignored.  All bug reports should
 526 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 527 database (https://bugzilla.samba.org/).
 528
 529
 530 ======================================================================
 531 == Our Code, Our Bugs, Our Responsibility.
 532 == The Samba Team
 533 ======================================================================
 534
 535
 536 ----------------------------------------------------------------------
 537
 538
 539                    ==============================
 540                    Release Notes for Samba 4.10.3
 541                             May 14, 2019
 542                    ==============================
 543
 544
 545 This is a security release in order to address the following defect:
 546
 547 o  CVE-2018-16860 (Samba AD DC S4U2Self/S4U2Proxy unkeyed checksum)
 548
 549
 550 =======
 551 Details
 552 =======
 553
 554 o  CVE-2018-16860:
 555    The checksum validation in the S4U2Self handler in the embedded Heimdal KDC
 556    did not first confirm that the checksum was keyed, allowing replacement of
 557    the requested target (client) principal.
 558
 559 For more details and workarounds, please refer to the security advisory.
 560
 561
 562 Changes since 4.10.2:
 563 ---------------------
 564
 565 o  Isaac Boukris <iboukris@gmail.com>
 566    * BUG 13685: CVE-2018-16860: Heimdal KDC: Reject PA-S4U2Self with unkeyed
 567      checksum.
 568
 569
 570 #######################################
 571 Reporting bugs & Development Discussion
 572 #######################################
 573
 574 Please discuss this release on the samba-technical mailing list or by
 575 joining the #samba-technical IRC channel on irc.freenode.net.
 576
 577 If you do report problems then please try to send high quality
 578 feedback. If you don't provide vital information to help us track down
 579 the problem then you will probably be ignored.  All bug reports should
 580 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 581 database (https://bugzilla.samba.org/).
 582
 583
 584 ======================================================================
 585 == Our Code, Our Bugs, Our Responsibility.
 586 == The Samba Team
 587 ======================================================================
 588
 589
 590 ----------------------------------------------------------------------
 591
 592
 593                    ==============================
 594                    Release Notes for Samba 4.10.2
 595                            April 8, 2019
 596                    ==============================
 597
 598
 599 This is a security release in order to address the following defects:
 600
 601 o  CVE-2019-3870 (World writable files in Samba AD DC private/ dir)
 602 o  CVE-2019-3880 (Save registry file outside share as unprivileged user)
 603
 604
 605 =======
 606 Details
 607 =======
 608
 609 o  CVE-2019-3870:
 610    During the provision of a new Active Directory DC, some files in the private/
 611    directory are created world-writable.
 612
 613 o  CVE-2019-3880:
 614    Authenticated users with write permission can trigger a symlink traversal to
 615    write or detect files outside the Samba share.
 616
 617 For more details and workarounds, please refer to the security advisories.
 618
 619
 620 Changes since 4.10.1:
 621 ---------------------
 622
 623 o  Andrew Bartlett <abartlet@samba.org>
 624    * BUG 13834: CVE-2019-3870: pysmbd: Ensure a zero umask is set for
 625      smbd.mkdir().
 626
 627 o  Jeremy Allison <jra@samba.org>
 628    * BUG 13851: CVE-2018-14629: rpc: winreg: Remove implementations of
 629      SaveKey/RestoreKey.
 630
 631
 632 #######################################
 633 Reporting bugs & Development Discussion
 634 #######################################
 635
 636 Please discuss this release on the samba-technical mailing list or by
 637 joining the #samba-technical IRC channel on irc.freenode.net.
 638
 639 If you do report problems then please try to send high quality
 640 feedback. If you don't provide vital information to help us track down
 641 the problem then you will probably be ignored.  All bug reports should
 642 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 643 database (https://bugzilla.samba.org/).
 644
 645
 646 ======================================================================
 647 == Our Code, Our Bugs, Our Responsibility.
 648 == The Samba Team
 649 ======================================================================
 650
 651
 652 ----------------------------------------------------------------------
 653
 654
 655                    ==============================
 656                    Release Notes for Samba 4.10.1
 657                            April 3, 2019
 658                    ==============================
 659
 660
 661 This is the latest stable release of the Samba 4.10 release series.
 662
 663
 664 Changes since 4.10.0:
 665 ---------------------
 666
 667 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 668    * BUG 13837: py/kcc_utils: py2.6 compatibility.
 669
 670 o  Philipp Gesang <philipp.gesang@intra2net.com>
 671    * BUG 13869: libcli: permit larger values of DataLength in
 672      SMB2_ENCRYPTION_CAPABILITIES of negotiate response.
 673
 674 o  Michael Hanselmann <public@hansmi.ch>
 675    * BUG 13840: regfio: Improve handling of malformed registry hive files.
 676
 677 o  Amitay Isaacs <amitay@samba.org>
 678    * BUG 13789: ctdb-version: Simplify version string usage.
 679
 680 o  Volker Lendecke <vl@samba.org>
 681    * BUG 13859: lib: Make fd_load work for non-regular files.
 682
 683 o  Stefan Metzmacher <metze@samba.org>
 684    * BUG 13816: dbcheck in the middle of the tombstone garbage collection causes
 685      replication failures, dbcheck: add --selftest-check-expired-tombstones
 686      cmdline option.
 687    * BUG 13818: ndr_spoolss_buf: Fix out of scope use of stack variable in
 688      NDR_SPOOLSS_PUSH_ENUM_OUT().
 689
 690 o  Anoop C S <anoopcs@redhat.com>
 691    * BUG 13854: s4/messaging: Fix undefined reference in linking
 692      libMESSAGING-samba4.so.
 693
 694 o  Garming Sam <garming@catalyst.net.nz>
 695    * BUG 13836: acl_read: Fix regression for empty lists.
 696
 697 o  Michael Saxl <mike@mwsys.mine.bz>
 698    * BUG 13841: s4:dlz make b9_has_soa check dc=@ node.
 699
 700 o  Andreas Schneider <asn@samba.org>
 701    * BUG 13832: s3:client: Fix printing via smbspool backend with kerberos auth.
 702    * BUG 13847: s4:librpc: Fix installation of Samba.
 703    * BUG 13848: s3:lib: Fix the debug message for adding cache entries.
 704    * BUG 13793: s3:utils: Add 'smbstatus -L --resolve-uids' to show username.
 705    * BUG 13848: s3:lib: Fix the debug message for adding cache entries.
 706    * BUG 13853: s3:waf: Fix the detection of makdev() macro on Linux.
 707
 708 o  Martin Schwenke <martin@meltin.net>
 709    * BUG 13789: ctdb-build: Drop creation of .distversion in tarball.
 710    * BUG 13838: ctdb-packaging: Test package requires tcpdump, ctdb package
 711      should not own system library directory.
 712
 713
 714 #######################################
 715 Reporting bugs & Development Discussion
 716 #######################################
 717
 718 Please discuss this release on the samba-technical mailing list or by
 719 joining the #samba-technical IRC channel on irc.freenode.net.
 720
 721 If you do report problems then please try to send high quality
 722 feedback. If you don't provide vital information to help us track down
 723 the problem then you will probably be ignored.  All bug reports should
 724 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 725 database (https://bugzilla.samba.org/).
 726
 727
 728 ======================================================================
 729 == Our Code, Our Bugs, Our Responsibility.
 730 == The Samba Team
 731 ======================================================================
 732
 733
 734 ----------------------------------------------------------------------
 735
 736
 737                    ==============================
 738                    Release Notes for Samba 4.10.0
 739                            March 19, 2019
 740                    ==============================
 741
 742
 743 This is the first stable release of the Samba 4.10 release series.
 744 Please read the release notes carefully before upgrading.
 745
 746
 747 NEW FEATURES/CHANGES
 748 ====================
 749
 750 GPO Improvements
 751 ----------------
 752
 753 A new 'samba-tool gpo backup' command has been added that can export a
 754 set of Group Policy Objects from a domain in a generalised XML format.
 755
 756 A corresponding 'samba-tool gpo restore' command has been added to
 757 rebuild the Group Policy Objects from the XML after generalization.
 758 (The administrator needs to correct the values of XML entities between
 759 the backup and restore to account for the change in domain).
 760
 761 KDC prefork
 762 -----------
 763
 764 The KDC now supports the pre-fork process model and worker processes will be
 765 forked for the KDC when the pre-fork process model is selected for samba.
 766
 767 Prefork 'prefork children'
 768 --------------------------
 769
 770 The default value for this smdb.conf parameter has been increased from 1 to
 771 4.
 772
 773 Netlogon prefork
 774 ----------------
 775
 776 DCERPC now supports pre-forked NETLOGON processes. The netlogon processes are
 777 pre-forked when the prefork process model is selected for samba.
 778
 779 Offline domain backups
 780 ----------------------
 781
 782 The 'samba-tool domain backup' command has been extended with a new 'offline'
 783 option. This safely creates a backup of the local DC's database directly from
 784 disk. The main benefits of an offline backup are it's quicker, it stores more
 785 database details (for forensic purposes), and the samba process does not have
 786 to be running when the backup is made. Refer to the samba-tool help for more
 787 details on using this command.
 788
 789 Group membership statistics
 790 ---------------------------
 791
 792 A new 'samba-tool group stats' command has been added. This provides summary
 793 information about how the users are spread across groups in your domain.
 794 The 'samba-tool group list --verbose' command has also been updated to include
 795 the number of users in each group.
 796
 797 Paged results LDAP control
 798 --------------------------
 799
 800 The behaviour of the paged results control (1.2.840.113556.1.4.319, RFC2696)
 801 has been changed to more closely match Windows servers, to improve memory
 802 usage. Paged results may be used internally (or is requested by the user) by
 803 LDAP libraries or tools that deal with large result sizes, for example, when
 804 listing all the objects in the database.
 805
 806 Previously, results were returned as a snapshot of the database but now,
 807 some changes made to the set of results while paging may be reflected in the
 808 responses. If strict inter-record consistency is required in answers (which is
 809 not possible on Windows with large result sets), consider avoiding the paged
 810 results control or alternatively, it might be possible to enforce restrictions
 811 using the LDAP filter expression.
 812
 813 For further details see https://wiki.samba.org/index.php/Paged_Results
 814
 815 Prefork process restart
 816 -----------------------
 817
 818 The pre-fork process model now restarts failed processes. The delay between
 819 restart attempts is controlled by the "prefork backoff increment" (default = 10)
 820 and "prefork maximum backoff" (default = 120) smbd.conf parameters.  A linear
 821 back off strategy is used with "prefork backoff increment" added to the
 822 delay between restart attempts up until it reaches "prefork maximum backoff".
 823
 824 Using the default sequence the restart delays (in seconds) are:
 825   0, 10, 20, ..., 120, 120, ...
 826
 827 Standard process model
 828 ----------------------
 829
 830 When using the standard process model samba forks a new process to handle ldap
 831 and netlogon connections.  Samba now honours the 'max smbd processes' smb.conf
 832 parameter.  The default value of 0, indicates there is no limit.  The limit
 833 is applied individually to netlogon and ldap.  When the process limit is
 834 exceeded Samba drops new connections immediately.
 835
 836 python3 support
 837 ---------------
 838
 839 This is the first release of Samba which has full support for Python 3.
 840 Samba 4.10 still has support for Python 2, however, Python 3 will be used by
 841 default, i.e. 'configure' & 'make' will execute using python3.
 842
 843 To build Samba with python2 you *must* set the 'PYTHON' environment variable
 844 for both the 'configure' and 'make' steps, i.e.
 845    'PYTHON=python2 ./configure'
 846    'PYTHON=python2 make'
 847 This will override the python3 default.
 848
 849 Alternatively, it is possible to produce Samba Python bindings for both
 850 Python 2 and Python 3. To do so, specify '--extra-python=/usr/bin/python2'
 851 as part of the 'configure' command. Note that python3 will still be used as
 852 the default in this case.
 853
 854 Note that Samba 4.10 supports Python 3.4 onwards.
 855
 856 Future Python support
 857 ---------------------
 858
 859 Samba 4.10 will be the last release that comes with full support for
 860 Python 2. Unfortunately, the Samba Team doesn't have the resources to support
 861 both Python 2 and Python 3 long-term.
 862
 863 Samba 4.11 will not have any runtime support for Python 2. This means if
 864 you use Python 2 bindings it is time to migrate to Python 3 now.
 865
 866 If you are building Samba using the '--disable-python' option (i.e. you're
 867 excluding all the run-time Python support), then this will continue to work
 868 on a system that supports either python2 or python3.
 869
 870 Also note that Samba 4.11 will most likely only support Python 3.6 onwards.
 871
 872 JSON logging
 873 ------------
 874
 875 Authentication messages now contain the Windows Event Id "eventId" and logon
 876 type "logonType". The supported event codes and logon types are:
 877   Event codes:
 878     4624  Successful logon
 879     4625  Unsuccessful logon
 880
 881   Logon Types:
 882     2  Interactive
 883     3  Network
 884     8  NetworkCleartext
 885
 886 The version number for Authentication messages is now 1.1, changed from 1.0
 887
 888 Password change messages now contain the Windows Event Id "eventId", the
 889 supported event Id's are:
 890   4723 Password changed
 891   4724 Password reset
 892
 893 The version number for PasswordChange messages is now 1.1, changed from 1.0
 894
 895 Group membership change messages now contain the Windows Event Id "eventId",
 896 the supported event Id's are:
 897   4728 A member was added to a security enabled global group
 898   4729 A member was removed from a security enabled global group
 899   4732 A member was added to a security enabled local group
 900   4733 A member was removed from a security enabled local group
 901   4746 A member was added to a security disabled local group
 902   4747 A member was removed from a security disabled local group
 903   4751 A member was added to a security disabled global group
 904   4752 A member was removed from a security disabled global group
 905   4756 A member was added to a security enabled universal group
 906   4757 A member was removed from a security enabled universal group
 907   4761 A member was added to a security disabled universal group
 908   4762 A member was removed from a security disabled universal group
 909
 910
 911 The version number for GroupChange messages is now 1.1, changed from 1.0. Also
 912 A GroupChange message is generated when a new user is created to log that the
 913 user has been added to their primary group.
 914
 915 The leading "JSON <message type>:" and source file  prefix of the JSON formatted
 916 log entries has been removed to make the parsing of the JSON log messages
 917 easier. JSON log entries now start with 2 spaces followed by an opening brace
 918 i.e. "  {"
 919
 920 SMBv2 samba-tool support
 921 ------------------------
 922
 923 On previous releases, some samba-tool commands would not work against a remote
 924 DC that had SMBv1 disabled. SMBv2 support has now been added for samba-tool.
 925 The affected commands are 'samba-tool domain backup|rename' and the
 926 'samba-tool gpo' set of commands. Refer also bug #13676.
 927
 928 New glusterfs_fuse VFS module
 929 -----------------------------
 930
 931 The new vfs_glusterfs_fuse module improves performance when Samba
 932 accesses a glusterfs volume mounted via FUSE (Filesystem in Userspace
 933 as part of the Linux kernel). It achieves that by leveraging a
 934 mechanism to retrieve the appropriate case of filenames by querying a
 935 specific extended attribute in the filesystem. No extra configuration
 936 is required to use this module, only glusterfs_fuse needs to be set in
 937 the "vfs objects" parameter. Further details can be found in the
 938 vfs_glusterfs_fuse(8) manpage. This new vfs_glusterfs_fuse module does
 939 not replace the existing vfs_glusterfs module, it just provides an
 940 additional, alternative mechanism to access a Gluster volume.
 941
 942 REMOVED FEATURES
 943 ================
 944
 945 MIT Kerberos build of the AD DC
 946 -------------------------------
 947
 948 While not removed, the MIT Kerberos build of the Samba AD DC is still
 949 considered experimental.  Because Samba will not issue security
 950 patches for this configuration, such builds now require the explicit
 951 configure option: --with-experimental-mit-ad-dc
 952
 953 For further details see
 954 https://wiki.samba.org/index.php/Running_a_Samba_AD_DC_with_MIT_Kerberos_KDC
 955
 956 samba_backup
 957 ------------
 958
 959 The samba_backup script has been removed. This has now been replaced by the
 960 'samba-tool domain backup offline' command.
 961
 962 SMB client Python bindings
 963 --------------------------
 964
 965 The SMB client python bindings are now deprecated and will be removed in future
 966 Samba releases. This will only affects users that may have used the Samba
 967 Python bindings to write their own utilities, i.e. users with a custom Python
 968 script that includes the line 'from samba import smb'.
 969
 970 smb.conf changes
 971 ================
 972
 973   Parameter Name                     Description                Default
 974   --------------                     -----------                -------
 975   prefork backoff increment   Delay added to process restart    10 (seconds)
 976                               between attempts.
 977   prefork maximum backoff     Maximum delay for process between 120 (seconds)
 978                               process restart attempts
 979   smbd search ask sharemode   Name changed, old name was
 980                               "smbd:search ask sharemode"
 981   smbd async dosmode          Name changed, old name was
 982                               "smbd:async dosmode"
 983   smbd max async dosmode      Name changed, old name was
 984                               "smbd:max async dosmode"
 985   smbd getinfo ask sharemode  New: similar to "smbd search ask yes
 986                               sharemode" but for SMB getinfo
 987
 988
 989 CHANGES SINCE 4.10.0rc4
 990 =======================
 991
 992 o  Andrew Bartlett <abartlet@samba.org>
 993    * BUG 13760: s4-server: Open and close a transaction on sam.ldb at startup.
 994
 995 o  Ralph Boehme <slow@samba.org>
 996    * BUG 13812: access_check_max_allowed() doesn't process "Owner Rights" ACEs.
 997
 998 o  Joe Guo <joeg@catalyst.net.nz>
 999    * s4/scripting/bin: Open unicode files with utf8 encoding and write
1000    * unicode string.
1001
1002 o  Björn Jacke <bj@sernet.de>
1003    * BUG 13759: sambaundoguididx: Use the right escaped oder unescaped sam ldb
1004      files.
1005
1006 o  Volker Lendecke <vl@samba.org>
1007    * BUG 13813: Fix idmap cache pollution with S-1-22- IDs on winbind hickup.
1008
1009 o  Christof Schmitt <cs@samba.org>
1010    * passdb: Update ABI to 0.27.2.
1011    * BUG 13813: lib/winbind_util: Add winbind_xid_to_sid for --without-winbind.
1012
1013 o  Andreas Schneider <asn@samba.org>
1014    * BUG 13823: lib:util: Move debug message for mkdir failing to log level 1.
1015
1016
1017 CHANGES SINCE 4.10.0rc3
1018 =======================
1019
1020 o  Jeremy Allison <jra@samba.org>
1021    * BUG 13803: SMB1 POSIX mkdir does case insensitive name lookup.
1022
1023 o  Ralph Boehme <slow@samba.org>
1024    * BUG 13802: Fix idmap xid2sid cache issue.
1025
1026 o  David Disseldorp <ddiss@samba.org>
1027    * BUG 13807: vfs_ceph strict_allocate_ftruncate calls (local FS) ftruncate
1028      and fallocate.
1029
1030 o  Volker Lendecke <vl@samba.org>
1031    * BUG 13786: messages_dgm: Properly handle receiver re-initialization.
1032
1033 o  Gary Lockyer <gary@catalyst.net.nz>
1034    * BUG 13765: man pages: Document prefork process model.
1035    * BUG 13773: CVE-2019-3824 ldb: wildcard_match end of data check.
1036
1037 o  Stefan Metzmacher <metze@samba.org>
1038    * tdb: Fix compatibility of wscript with older python.
1039    * tevent: version 0.9.39
1040    * BUG 13773: CVE-2019-3824 ldb: version 1.5.4
1041
1042 o  David Mulder <dmulder@suse.com>
1043    * Search for location of waf script.
1044
1045 o  Noel Power <noel.power@suse.com>
1046    * BUG 13777: buildtools/wafsamba: Avoid decode when using python2.
1047
1048 o  Jiří Šašek <jiri.sasek@oracle.com>
1049    * BUG 13704: notifyd: Fix SIGBUS on sparc.
1050
1051 o  Swen Schillig <swen@linux.ibm.com>
1052    * BUG 13791: ctdb: Buffer write beyond limits.
1053
1054 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
1055    * BUG 13773: CVE-2019-3824 ldb: Out of bound read in ldb_wildcard_compare.
1056
1057 o  Martin Schwenke <martin@meltin.net>
1058    * BUG 13790: ctdb-config: Change example recovery lock setting to one that
1059      fails.
1060    * BUG 13800: Fix recovery lock bug.
1061
1062
1063 CHANGES SINCE 4.10.0rc2
1064 =======================
1065
1066 o  Jeremy Allison <jra@samba.org>
1067    * BUG 13690: smbd: uid: Don't crash if 'force group' is added to an existing
1068      share connection.
1069    * BUG 13770: s3: VFS: vfs_fruit. Fix the NetAtalk deny mode compatibility
1070      code.
1071
1072 o  Andrew Bartlett <abartlet@samba.org>
1073    * ldb: Release ldb 1.5.3
1074    * BUG 13762: Avoid inefficient one-level searches.
1075    * BUG 13772: The test api.py should not rely on order of entries in dict.
1076
1077 o  Tim Beale <timbeale@catalyst.net.nz>
1078    * BUG 13762: ldb: Avoid inefficient one-level searches.
1079
1080 o  Ralph Boehme <slow@samba.org>
1081    * BUG 13776: tldap: Avoid use after free errors.
1082
1083 o  Günther Deschner <gd@samba.org>
1084    * BUG 13746: s3-smbd: Use fruit:model string for mDNS registration.
1085
1086 o  David Disseldorp <ddiss@samba.org>
1087    * BUG 13766: printing: Check lp_load_printers() prior to pcap cache update.
1088
1089 o  Christof Schmitt <cs@samba.org>
1090    * BUG 13787: waf: Check for libnscd.
1091
1092 o  Andreas Schneider <asn@samba.org>
1093    * BUG 13770: s3:vfs: Correctly check if OFD locks should be enabled or not.
1094    * BUG 13778: Public ZERO_STRUCT() uses undefined C11 function memset_s().
1095
1096
1097 CHANGES SINCE 4.10.0rc1
1098 =======================
1099
1100 o  Jeremy Allison <jra@samba.org>
1101    * BUG 13750: libcli: dns: Change internal DNS_REQUEST_TIMEOUT from 2 to 10
1102      seconds.
1103
1104 o  Tim Beale <timbeale@catalyst.net.nz>
1105    * BUG 13676: samba-tool SMB/sysvol connections do not work if SMBv1 is
1106      disabled.
1107    * BUG 13747: join: Throw CommandError instead of Exception for simple errors.
1108
1109 o  Günther Deschner <gd@samba.org>
1110    * BUG 13774: s3-vfs: Add glusterfs_fuse vfs module.
1111
1112 o  Volker Lendecke <vl@samba.org>
1113    * BUG 13742: ctdb: Print locks latency in machinereadable stats.
1114
1115 o  Stefan Metzmacher <metze@samba.org>
1116    * BUG 13752: s4:server: Add support for 'smbcontrol samba shutdown'.
1117
1118 o  Anoop C S <anoopcs@redhat.com>
1119    * BUG 13330: vfs_glusterfs: Adapt to changes in libgfapi signatures.
1120    * BUG 13774: s3-vfs: Use ENOATTR in errno comparison for getxattr.
1121
1122 o  Justin Stephenson <jstephen@redhat.com>
1123    * BUG 13727: s3:libsmb: Honor disable_netbios option in smbsock_connect_send.
1124
1125
1126 KNOWN ISSUES
1127 ============
1128
1129 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.10#Release_blocking_bugs
1130
1131
1132 #######################################
1133 Reporting bugs & Development Discussion
1134 #######################################
1135
1136 Please discuss this release on the samba-technical mailing list or by
1137 joining the #samba-technical IRC channel on irc.freenode.net.
1138
1139 If you do report problems then please try to send high quality
1140 feedback. If you don't provide vital information to help us track down
1141 the problem then you will probably be ignored.  All bug reports should
1142 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1143 database (https://bugzilla.samba.org/).
1144
1145
1146 ======================================================================
1147 == Our Code, Our Bugs, Our Responsibility.
1148 == The Samba Team
1149 ======================================================================
1150