WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.12.8
   3                           October 07, 2020
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.12 release series.
   8
   9
  10 Changes since 4.12.7
  11 --------------------
  12
  13 o  Günther Deschner <gd@samba.org>
  14    * BUG 14318: docs: Add missing winexe manpage.
  15
  16 o  Volker Lendecke <vl@samba.org>
  17    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
  18      response.
  19
  20 o  Laurent Menase <laurent.menase@hpe.com>
  21    * BUG 14388: winbind: Fix a memleak.
  22
  23 o  Stefan Metzmacher <metze@samba.org>
  24    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
  25      response.
  26    * BUG 14482: Compilation of heimdal tree fails if libbsd is not installed.
  27
  28 o  Christof Schmitt <cs@samba.org>
  29    * BUG 14166: util: Allow symlinks in directory_create_or_exist.
  30
  31 o  Andreas Schneider <asn@samba.org>
  32    * BUG 14399: waf: Only use gnutls_aead_cipher_encryptv2() for GnuTLS >
  33      3.6.14.
  34    * BUG 14467: s3:smbd: Fix %U substitutions if it contains a domain name.
  35
  36 o  Martin Schwenke <martin@meltin.net>
  37    * BUG 14466: ctdb disable/enable can fail due to race condition.
  38
  39
  40 #######################################
  41 Reporting bugs & Development Discussion
  42 #######################################
  43
  44 Please discuss this release on the samba-technical mailing list or by
  45 joining the #samba-technical IRC channel on irc.freenode.net.
  46
  47 If you do report problems then please try to send high quality
  48 feedback. If you don't provide vital information to help us track down
  49 the problem then you will probably be ignored.  All bug reports should
  50 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  51 database (https://bugzilla.samba.org/).
  52
  53
  54 ======================================================================
  55 == Our Code, Our Bugs, Our Responsibility.
  56 == The Samba Team
  57 ======================================================================
  58
  59
  60 Release notes for older releases follow:
  61 ----------------------------------------
  62
  63                    ==============================
  64                    Release Notes for Samba 4.12.7
  65                          September 18, 2020
  66                    ==============================
  67
  68
  69 This is a security release in order to address the following defect:
  70
  71 o CVE-2020-1472: Unauthenticated domain takeover via netlogon ("ZeroLogon").
  72
  73 The following applies to Samba used as domain controller only (most
  74 seriously the Active Directory DC, but also the classic/NT4-style DC).
  75
  76 Installations running Samba as a file server only are not directly
  77 affected by this flaw, though they may need configuration changes to
  78 continue to talk to domain controllers (see "file servers and domain
  79 members" below).
  80
  81 The netlogon protocol contains a flaw that allows an authentication
  82 bypass. This was reported and patched by Microsoft as CVE-2020-1472.
  83 Since the bug is a protocol level flaw, and Samba implements the
  84 protocol, Samba is also vulnerable.
  85
  86 However, since version 4.8 (released in March 2018), the default
  87 behaviour of Samba has been to insist on a secure netlogon channel,
  88 which is a sufficient fix against the known exploits. This default is
  89 equivalent to having 'server schannel = yes' in the smb.conf.
  90
  91 Therefore versions 4.8 and above are not vulnerable unless they have
  92 the smb.conf lines 'server schannel = no' or 'server schannel = auto'.
  93
  94 Samba versions 4.7 and below are vulnerable unless they have 'server
  95 schannel = yes' in the smb.conf.
  96
  97 Note each domain controller needs the correct settings in its smb.conf.
  98
  99 Vendors supporting Samba 4.7 and below are advised to patch their
 100 installations and packages to add this line to the [global] section if
 101 their smb.conf file.
 102
 103 The 'server schannel = yes' smb.conf line is equivalent to Microsoft's
 104 'FullSecureChannelProtection=1' registry key, the introduction of
 105 which we understand forms the core of Microsoft's fix.
 106
 107 Some domains employ third-party software that will not work with a
 108 'server schannel = yes'. For these cases patches are available that
 109 allow specific machines to use insecure netlogon. For example, the
 110 following smb.conf:
 111
 112    server schannel = yes
 113    server require schannel:triceratops$ = no
 114    server require schannel:greywacke$ = no
 115
 116 will allow only "triceratops$" and "greywacke$" to avoid schannel.
 117
 118 More details can be found here:
 119 https://www.samba.org/samba/security/CVE-2020-1472.html
 120
 121
 122 Changes since 4.12.6
 123 --------------------
 124
 125 o  Jeremy Allison <jra@samba.org>
 126    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Protect
 127      netr_ServerPasswordSet2 against unencrypted passwords.
 128
 129 o  Günther Deschner <gd@samba.org>
 130    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Support
 131      "server require schannel:WORKSTATION$ = no" about unsecure configurations.
 132
 133 o  Gary Lockyer <gary@catalyst.net.nz>
 134    * BUG 14497: CVE-2020-1472(ZeroLogon): s4 torture rpc: repeated bytes in
 135      client challenge.
 136
 137 o  Stefan Metzmacher <metze@samba.org>
 138    * BUG 14497: CVE-2020-1472(ZeroLogon): libcli/auth: Reject weak client
 139      challenges in netlogon_creds_server_init()
 140      "server require schannel:WORKSTATION$ = no".
 141
 142
 143 #######################################
 144 Reporting bugs & Development Discussion
 145 #######################################
 146
 147 Please discuss this release on the samba-technical mailing list or by
 148 joining the #samba-technical IRC channel on irc.freenode.net.
 149
 150 If you do report problems then please try to send high quality
 151 feedback. If you don't provide vital information to help us track down
 152 the problem then you will probably be ignored.  All bug reports should
 153 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 154 database (https://bugzilla.samba.org/).
 155
 156
 157 ======================================================================
 158 == Our Code, Our Bugs, Our Responsibility.
 159 == The Samba Team
 160 ======================================================================
 161
 162
 163 ----------------------------------------------------------------------
 164
 165
 166                    ==============================
 167                    Release Notes for Samba 4.12.6
 168                           August 13, 2020
 169                    ==============================
 170
 171
 172 This is the latest stable release of the Samba 4.12 release series.
 173
 174
 175 Changes since 4.12.5
 176 --------------------
 177
 178 o  Jeremy Allison <jra@samba.org>
 179    * BUG 14403: s3: libsmb: Fix SMB2 client rename bug to a Windows server.
 180
 181 o  Andrew Bartlett <abartlet@samba.org>
 182    * BUG 14424: dsdb: Allow "password hash userPassword schemes = CryptSHA256"
 183      to work on RHEL7.
 184    * BUG 14450: dbcheck: Allow a dangling forward link outside our known NCs.
 185
 186 o  Ralph Boehme <slow@samba.org>
 187    * BUG 14426: lib/debug: Set the correct default backend loglevel to
 188      MAX_DEBUG_LEVEL.
 189    * BUG 14428: PANIC: Assert failed in get_lease_type().
 190
 191 o  Bjoern Jacke <bjacke@samba.org>
 192    * BUG 14422: util: Fix build on AIX by fixing the order of replace.h include.
 193
 194 o  Volker Lendecke <vl@samba.org>
 195    * BUG 14355: srvsvc_NetFileEnum asserts with open files.
 196
 197 o  Stefan Metzmacher <metze@samba.org>
 198    * BUG 14354: KDC breaks with DES keys still in the database and
 199      msDS-SupportedEncryptionTypes 31 indicating support for it.
 200    * BUG 14427: s3:smbd: Make sure vfs_ChDir() always sets
 201      conn->cwd_fsp->fh->fd = AT_FDCWD.
 202    * BUG 14428: PANIC: Assert failed in get_lease_type().
 203
 204 o  Andreas Schneider <asn@samba.org>
 205    * BUG 14358: docs: Fix documentation for require_membership_of of
 206      pam_winbind.conf.
 207
 208 o  Martin Schwenke <martin@meltin.net>
 209    * BUG 14444: ctdb-scripts: Use nfsconf utility for variable values in CTDB
 210      NFS scripts.
 211
 212 o  Andrew Walker <awalker@ixsystems.com>
 213    * BUG 14425: s3:winbind:idmap_ad: Make failure to get attrnames for schema
 214      mode fatal.
 215
 216
 217 #######################################
 218 Reporting bugs & Development Discussion
 219 #######################################
 220
 221 Please discuss this release on the samba-technical mailing list or by
 222 joining the #samba-technical IRC channel on irc.freenode.net.
 223
 224 If you do report problems then please try to send high quality
 225 feedback. If you don't provide vital information to help us track down
 226 the problem then you will probably be ignored.  All bug reports should
 227 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 228 database (https://bugzilla.samba.org/).
 229
 230
 231 ======================================================================
 232 == Our Code, Our Bugs, Our Responsibility.
 233 == The Samba Team
 234 ======================================================================
 235
 236
 237 ----------------------------------------------------------------------
 238
 239
 240                    ==============================
 241                    Release Notes for Samba 4.12.5
 242                             July 02, 2020
 243                    ==============================
 244
 245
 246 This is the latest stable release of the Samba 4.12 release series.
 247
 248
 249 Changes since 4.12.4
 250 --------------------
 251
 252 o  Jeremy Allison <jra@samba.org>
 253    * BUG 14301: Fix smbd panic on force-close share during async io.
 254    * BUG 14374: Fix segfault when using SMBC_opendir_ctx() routine for share
 255      folder that contains incorrect symbols in any file name.
 256    * BUG 14391: Fix DFS links.
 257
 258 o  Andrew Bartlett <abartlet@samba.org>
 259    * BUG 14310: Can't use DNS functionality after a Windows DC has been in
 260      domain.
 261
 262 o  Alexander Bokovoy <ab@samba.org>
 263    * BUG 14413: ldapi search to FreeIPA crashes.
 264
 265 o  Isaac Boukris <iboukris@gmail.com>
 266    * BUG 14396: Add net-ads-join dnshostname=fqdn option.
 267    * BUG 14406: Fix adding msDS-AdditionalDnsHostName to keytab with Windows DC.
 268
 269 o  Björn Jacke <bj@sernet.de>
 270    * BUG 14386: docs-xml: Update list of posible VFS operations for
 271      vfs_full_audit.
 272
 273 o  Volker Lendecke <vl@samba.org>
 274    * BUG 14382: winbindd: Fix a use-after-free when winbind clients exit.
 275
 276 o  Andreas Schneider <asn@samba.org>
 277    * BUG 14370: Client tools are not able to read gencache anymore.
 278
 279
 280 #######################################
 281 Reporting bugs & Development Discussion
 282 #######################################
 283
 284 Please discuss this release on the samba-technical mailing list or by
 285 joining the #samba-technical IRC channel on irc.freenode.net.
 286
 287 If you do report problems then please try to send high quality
 288 feedback. If you don't provide vital information to help us track down
 289 the problem then you will probably be ignored.  All bug reports should
 290 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 291 database (https://bugzilla.samba.org/).
 292
 293
 294 ======================================================================
 295 == Our Code, Our Bugs, Our Responsibility.
 296 == The Samba Team
 297 ======================================================================
 298
 299
 300 ----------------------------------------------------------------------
 301
 302
 303                    ==============================
 304                    Release Notes for Samba 4.12.4
 305                             July 02, 2020
 306                    ==============================
 307
 308
 309 This is a security release in order to address the following defects:
 310
 311 o CVE-2020-10730: NULL pointer de-reference and use-after-free in Samba AD DC
 312                   LDAP Server with ASQ, VLV and paged_results.
 313 o CVE-2020-10745: Parsing and packing of NBT and DNS packets can consume
 314                   excessive CPU
 315 o CVE-2020-10760: LDAP Use-after-free in Samba AD DC Global Catalog with
 316                   paged_results and VLV.
 317 o CVE-2020-14303: Empty UDP packet DoS in Samba AD DC nbtd.
 318
 319
 320 =======
 321 Details
 322 =======
 323
 324 o  CVE-2020-10730:
 325    A client combining the 'ASQ' and 'VLV' LDAP controls can cause a NULL pointer
 326    de-reference and further combinations with the LDAP paged_results feature can
 327    give a use-after-free in Samba's AD DC LDAP server.
 328
 329 o  CVE-2020-10745: Parsing and packing of NBT and DNS packets can consume
 330    excessive CPU.
 331
 332 o  CVE-2020-10760:
 333    The use of the paged_results or VLV controls against the Global Catalog LDAP
 334    server on the AD DC will cause a use-after-free.
 335
 336 o  CVE-2020-14303:
 337    The AD DC NBT server in Samba 4.0 will enter a CPU spin and not process
 338    further requests once it receives an empty (zero-length) UDP packet to
 339    port 137.
 340
 341 For more details, please refer to the security advisories.
 342
 343
 344 Changes since 4.12.3
 345 --------------------
 346
 347 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 348    * BUG 14378: CVE-2020-10745: Invalid DNS or NBT queries containing dots use
 349      several seconds of CPU each.
 350
 351 o  Andrew Bartlett <abartlet@samba.org>
 352    * BUG 14364: CVE-2020-10730: NULL de-reference in AD DC LDAP server when ASQ
 353      and VLV combined.
 354    * BUG 14402: CVE-2020-10760: Fix use-after-free in AD DC Global Catalog LDAP
 355      server with paged_result or VLV.
 356    * BUG 14417: CVE-2020-14303: Fix endless loop from empty UDP packet sent to
 357      AD DC nbt_server.
 358
 359 o  Gary Lockyer <gary@catalyst.net.nz>
 360    * BUG 14364: CVE-2020-10730: NULL de-reference in AD DC LDAP server when ASQ
 361      and VLV combined, ldb: Bump version to 2.1.4.
 362
 363
 364 #######################################
 365 Reporting bugs & Development Discussion
 366 #######################################
 367
 368 Please discuss this release on the samba-technical mailing list or by
 369 joining the #samba-technical IRC channel on irc.freenode.net.
 370
 371 If you do report problems then please try to send high quality
 372 feedback. If you don't provide vital information to help us track down
 373 the problem then you will probably be ignored.  All bug reports should
 374 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 375 database (https://bugzilla.samba.org/).
 376
 377
 378 ======================================================================
 379 == Our Code, Our Bugs, Our Responsibility.
 380 == The Samba Team
 381 ======================================================================
 382
 383
 384 ----------------------------------------------------------------------
 385
 386
 387                    ==============================
 388                    Release Notes for Samba 4.12.3
 389                             May 19, 2020
 390                    ==============================
 391
 392
 393 This is the latest stable release of the Samba 4.12 release series.
 394
 395
 396 Changes since 4.12.2
 397 --------------------
 398
 399 o  Jeremy Allison <jra@samba.org>
 400    * BUG 14301: Fix smbd panic on force-close share during async io.
 401    * BUG 14343: s3: vfs_full_audit: Add missing fcntl entry in vfs_op_names[]
 402      array.
 403    * BUG 14361: vfs_io_uring: Fix data corruption with Windows clients.
 404    * BUG 14372: Fix smbd crashes when MacOS Catalina connects if iconv
 405      initialization fails.
 406
 407 o  Ralph Boehme <slow@samba.org>
 408    * BUG 14150: Exporting from macOS Adobe Illustrator creates multiple copies.
 409    * BUG 14256: smbd does a chdir() twice per request.
 410    * BUG 14320: smbd mistakenly updates a file's write-time on close.
 411    * BUG 14350: vfs_shadow_copy2: implement case canonicalisation in
 412      shadow_copy2_get_real_filename().
 413    * BUG 14375: Fix Windows 7 clients problem after upgrading samba file server.
 414
 415 o  Alexander Bokovoy <ab@samba.org>
 416    * BUG 14359: s3: Pass DCE RPC handle type to create_policy_hnd.
 417
 418 o  Isaac Boukris <iboukris@gmail.com>
 419    * BUG 14155: Fix uxsuccess test with new MIT krb5 library 1.18.
 420    * BUG 14342: mit-kdc: Explicitly reject S4U requests.
 421
 422 o  Anoop C S <anoopcs@redhat.com>
 423    * BUG 14352: dbwrap_watch: Set rec->value_valid while returning nested
 424      share_mode_do_locked().
 425
 426 o  Amit Kumar <amitkuma@redhat.com>
 427    * BUG 14345: lib:util: Fix smbclient -l basename dir.
 428
 429 o  Volker Lendecke <vl@samba.org>
 430    * BUG 14336: s3:libads: Fix ads_get_upn().
 431    * BUG 14348: ctdb: Fix a memleak.
 432    * BUG 14366: Malicous SMB1 server can crash libsmbclient.
 433
 434 o  Gary Lockyer <gary@catalyst.net.nz>
 435    * BUG 14330: ldb: Bump version to 2.1.3, LMDB databases can grow without
 436      bounds
 437
 438 o  Stefan Metzmacher <metze@samba.org>
 439    * BUG 14361: vfs_io_uring: Fix data corruption with Windows clients.
 440
 441 o  Noel Power <noel.power@suse.com>
 442    * BUG 14344: s3/librpc/crypto: Fix double free with unresolved credential
 443      cache.
 444
 445 o  Andreas Schneider <asn@samba.org>
 446    * BUG 14358: docs-xml: Fix usernames in pam_winbind manpages.
 447
 448
 449 #######################################
 450 Reporting bugs & Development Discussion
 451 #######################################
 452
 453 Please discuss this release on the samba-technical mailing list or by
 454 joining the #samba-technical IRC channel on irc.freenode.net.
 455
 456 If you do report problems then please try to send high quality
 457 feedback. If you don't provide vital information to help us track down
 458 the problem then you will probably be ignored.  All bug reports should
 459 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 460 database (https://bugzilla.samba.org/).
 461
 462
 463 ======================================================================
 464 == Our Code, Our Bugs, Our Responsibility.
 465 == The Samba Team
 466 ======================================================================
 467
 468
 469 ----------------------------------------------------------------------
 470
 471
 472                    ==============================
 473                    Release Notes for Samba 4.12.2
 474                            April 28, 2020
 475                    ==============================
 476
 477
 478 This is a security release in order to address the following defects:
 479
 480 o CVE-2020-10700: Use-after-free in Samba AD DC LDAP Server with ASQ
 481 o CVE-2020-10704: LDAP Denial of Service (stack overflow) in Samba AD DC
 482
 483
 484 =======
 485 Details
 486 =======
 487
 488 o  CVE-2020-10700:
 489    A client combining the 'ASQ' and 'Paged Results' LDAP controls can cause a
 490    use-after-free in Samba's AD DC LDAP server.
 491 o  CVE-2020-10704:
 492    A deeply nested filter in an un-authenticated LDAP search can exhaust the
 493    LDAP server's stack memory causing a SIGSEGV.
 494
 495 For more details, please refer to the security advisories.
 496
 497
 498 Changes since 4.12.1
 499 --------------------
 500
 501 o  Andrew Bartlett <abartlet@samba.org>
 502    * BUG 14331: CVE-2020-10700: Fix use-after-free in AD DC LDAP server when
 503      ASQ and paged_results combined.
 504
 505 o  Gary Lockyer <gary@catalyst.net.nz>
 506    * BUG 20454: CVE-2020-10704: Fix LDAP Denial of Service (stack overflow) in
 507      Samba AD DC.
 508
 509
 510 #######################################
 511 Reporting bugs & Development Discussion
 512 #######################################
 513
 514 Please discuss this release on the samba-technical mailing list or by
 515 joining the #samba-technical IRC channel on irc.freenode.net.
 516
 517 If you do report problems then please try to send high quality
 518 feedback. If you don't provide vital information to help us track down
 519 the problem then you will probably be ignored.  All bug reports should
 520 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 521 database (https://bugzilla.samba.org/).
 522
 523
 524 ======================================================================
 525 == Our Code, Our Bugs, Our Responsibility.
 526 == The Samba Team
 527 ======================================================================
 528
 529
 530 ----------------------------------------------------------------------
 531
 532
 533                    ==============================
 534                    Release Notes for Samba 4.12.1
 535                            April 07, 2020
 536                    ==============================
 537
 538
 539 This is the latest stable release of the Samba 4.12 release series.
 540
 541
 542 Changes since 4.12.0
 543 --------------------
 544
 545 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 546    * BUG 14295: nmblib: Avoid undefined behaviour in handle_name_ptrs().
 547
 548 o  Björn Baumbach <bb@sernet.de>
 549    * BUG 14296: samba-tool group: Handle group names with special chars
 550      correctly.
 551
 552 o  Ralph Boehme <slow@samba.org>
 553    * BUG 14293: Add missing check for DMAPI offline status in async DOS
 554      attributes.
 555    * BUG 14295: Starting ctdb node that was powered off hard before results in
 556      recovery loop.
 557    * BUG 14307: smbd: Ignore set NTACL requests which contain S-1-5-88 NFS ACEs.
 558    * BUG 14316: vfs_recycle: Prevent flooding the log if we're called on
 559      non-existant paths.
 560
 561 o  Günther Deschner <gd@samba.org>
 562    * BUG 14313: librpc: Fix IDL for svcctl_ChangeServiceConfigW.
 563    * BUG 14327: nsswitch: Fix use-after-free causing segfault in
 564      _pam_delete_cred.
 565
 566 o  Art M. Gallagher <repos@artmg.net>
 567    * BUG 13622: fruit:time machine max size is broken on arm.
 568
 569 o  Amitay Isaacs <amitay@gmail.com>
 570    * BUG 14294: CTDB recovery corner cases can cause record resurrection and
 571      node banning.
 572
 573 o  Noel Power <noel.power@suse.com>
 574    * BUG 14332: s3/utils: Fix double free error with smbtree.
 575
 576 o  Martin Schwenke <martin@meltin.net>
 577    * BUG 14294: CTDB recovery corner cases can cause record resurrection and
 578      node banning.
 579    * BUG 14295: Starting ctdb node that was powered off hard before results in
 580      recovery loop.
 581    * BUG 14324: CTDB recovery daemon can crash due to dereference of NULL
 582      pointer.
 583
 584
 585 #######################################
 586 Reporting bugs & Development Discussion
 587 #######################################
 588
 589 Please discuss this release on the samba-technical mailing list or by
 590 joining the #samba-technical IRC channel on irc.freenode.net.
 591
 592 If you do report problems then please try to send high quality
 593 feedback. If you don't provide vital information to help us track down
 594 the problem then you will probably be ignored.  All bug reports should
 595 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 596 database (https://bugzilla.samba.org/).
 597
 598
 599 ======================================================================
 600 == Our Code, Our Bugs, Our Responsibility.
 601 == The Samba Team
 602 ======================================================================
 603
 604
 605 ----------------------------------------------------------------------
 606
 607
 608                    ==============================
 609                    Release Notes for Samba 4.12.0
 610                            March 03, 2020
 611                    ==============================
 612
 613
 614 This is the first stable release of the Samba 4.12 release series.
 615 Please read the release notes carefully before upgrading.
 616
 617
 618 NEW FEATURES/CHANGES
 619 ====================
 620
 621 Python 3.5 Required
 622 -------------------
 623
 624 Samba's minimum runtime requirement for python was raised to Python
 625 3.4 with samba 4.11.  Samba 4.12 raises this minimum version to Python
 626 3.5 both to access new features and because this is the oldest version
 627 we test with in our CI infrastructure.
 628
 629 (Build time support for the file server with Python 2.6 has not
 630 changed)
 631
 632 Removing in-tree cryptography: GnuTLS 3.4.7 required
 633 ----------------------------------------------------
 634
 635 Samba is making efforts to remove in-tree cryptographic functionality,
 636 and to instead rely on externally maintained libraries.  To this end,
 637 Samba has chosen GnuTLS as our standard cryptographic provider.
 638
 639 Samba now requires GnuTLS 3.4.7 to be installed (including development
 640 headers at build time) for all configurations, not just the Samba AD
 641 DC.
 642
 643 Thanks to this work Samba no longer ships an in-tree DES
 644 implementation and on GnuTLS 3.6.5 or later Samba will include no
 645 in-tree cryptography other than the MD4 hash and that
 646 implemented in our copy of Heimdal.
 647
 648 Using GnuTLS for SMB3 encryption you will notice huge performance and copy
 649 speed improvements. Tests with the CIFS Kernel client from Linux Kernel 5.3
 650 show a 3x speed improvement for writing and a 2.5x speed improvement for reads!
 651
 652 NOTE WELL: The use of GnuTLS means that Samba will honour the
 653 system-wide 'FIPS mode' (a reference to the US FIPS-140 cryptographic
 654 standard) and so will not operate in many still common situations if
 655 this system-wide parameter is in effect, as many of our protocols rely
 656 on outdated cryptography.
 657
 658 A future Samba version will mitigate this to some extent where good
 659 cryptography effectively wraps bad cryptography, but for now that above
 660 applies.
 661
 662 zlib library is now required to build Samba
 663 -------------------------------------------
 664
 665 Samba no longer includes a local copy of zlib in our source tarball.
 666 By removing this we do not need to ship (even where we did not
 667 build) the old, broken zip encryption code found there.
 668
 669 New Spotlight backend for Elasticsearch
 670 ---------------------------------------
 671
 672 Support for the macOS specific Spotlight search protocol has been enhanced
 673 significantly. Starting with 4.12 Samba supports using Elasticsearch as search
 674 backend. Various new parameters have been added to configure this:
 675
 676   spotlight backend = noindex | elasticsearch | tracker
 677   elasticsearch:address = ADDRESS
 678   elasticsearch:port = PORT
 679   elasticsearch:use tls = BOOLEAN
 680   elasticsearch:index = INDEXNAME
 681   elasticsearch:mappings = PATH
 682   elasticsearch:max results = NUMBER
 683
 684 Samba also ships a Spotlight client command "mdfind" which can be used to search
 685 any SMB server that runs the Spotlight RPC service. See the manpage of mdfind
 686 for details.
 687
 688 Note that when upgrading existing installations that are using the previous
 689 default Spotlight backend Gnome Tracker must explicitly set "spotlight backend =
 690 tracker" as the new default is "noindex".
 691
 692 'net ads kerberos pac save' and 'net eventlog export'
 693 -----------------------------------------------------
 694
 695 The 'net ads kerberos pac save' and 'net eventlog export' tools will
 696 no longer silently overwrite an existing file during data export.  If
 697 the filename given exits, an error will be shown.
 698
 699 Fuzzing
 700 -------
 701
 702 A large number of fuzz targets have been added to Samba, and Samba has
 703 been registered in Google's oss-fuzz cloud fuzzing service.  In
 704 particular, we now have good fuzzing coverage of our generated NDR
 705 parsing code.
 706
 707 A large number of issues have been found and fixed thanks to this
 708 effort.
 709
 710 'samba-tool' improvements add contacts as member to groups
 711 ----------------------------------------------------------
 712
 713 Previously 'samba-tool group addmemers' can just add users, groups and
 714 computers as members to groups. But also contacts can be members of
 715 groups. Samba 4.12 adds the functionality to add contacts to
 716 groups. Since contacts have no sAMAccountName, it's possible that
 717 there are more than one contact with the same name in different
 718 organizational units. Therefore it's necessary to have an option to
 719 handle group members by their DN.
 720
 721 To get the DN of an object there is now the "--full-dn" option available
 722 for all necessary commands.
 723
 724 The MS Windows UI allows to search for specific types of group members
 725 when searching for new members for a group. This feature is included
 726 here with the new samba-tool group addmembers "--object-type=OBJECTYPE"
 727 option. The different types are selected accordingly to the Windows
 728 UI. The default samba-toole behaviour shouldn't be changed.
 729
 730 Allow filtering by OU or subtree in samba-tool
 731 ----------------------------------------------
 732
 733 A new "--base-dn" and "--member-base-dn" option is added to relevant
 734 samba-tool user, group and ou management commands to allow operation
 735 on just one part of the AD tree, such as a single OU.
 736
 737 VFS
 738 ===
 739
 740 SMB_VFS_NTIMES
 741 --------------
 742
 743 Samba now uses a sentinel value based on utimensat(2) UTIME_OMIT to denote
 744 to-be-ignored timestamp variables passed to the SMB_VFS_NTIMES() VFS function.
 745
 746 VFS modules can check whether any of the time values inside a struct
 747 smb_file_time is to be ignored by calling is_omit_timespec() on the value.
 748
 749 'io_uring' vfs module
 750 ---------------------
 751
 752 The module makes use of the new io_uring infrastructure
 753 (intruduced in Linux 5.1), see https://lwn.net/Articles/776703/
 754
 755 Currently this implements SMB_VFS_{PREAD,PWRITE,FSYNC}_SEND/RECV
 756 and avoids the overhead of the userspace threadpool in the default
 757 vfs backend. See also vfs_io_uring(8).
 758
 759 In order to build the module you need the liburing userspace library
 760 and its developement headers installed, see
 761 https://git.kernel.dk/cgit/liburing/
 762
 763 At runtime you'll need a Linux kernel with version 5.1 or higher.
 764 Note that 5.4.14 and 5.4.15 have a regression that breaks the Samba
 765 module! The regression was fixed in Linux 5.4.16 again.
 766
 767 MS-DFS changes in the VFS
 768 -------------------------
 769
 770 This release changes set getting and setting of MS-DFS redirects
 771 on the filesystem to go through two new VFS functions:
 772
 773 SMB_VFS_CREATE_DFS_PATHAT()
 774 SMB_VFS_READ_DFS_PATHAT()
 775
 776 instead of smbd explicitly storing MS-DFS redirects inside
 777 symbolic links on the filesystem. The underlying default
 778 implementations of this has not changed, the redirects are
 779 still stored inside symbolic links on the filesystem, but
 780 moving the creation and reading of these links into the VFS
 781 as first-class functions now allows alternate methods of
 782 storing them (maybe in extended attributes) for OEMs who
 783 don't want to mis-use filesystem symbolic links in this
 784 way.
 785
 786
 787 CTDB changes
 788 ============
 789
 790 * The ctdb_mutex_fcntl_helper periodically re-checks the lock file
 791
 792   The re-check period is specified using a 2nd argument to this
 793   helper.  The default re-check period is 5s.
 794
 795   If the file no longer exists or the inode number changes then the
 796   helper exits.  This triggers an election.
 797
 798
 799 REMOVED FEATURES
 800 ================
 801
 802 The smb.conf parameter "write cache size" has been removed.
 803
 804 Since the in-memory write caching code was written, our write path has
 805 changed significantly. In particular we have gained very flexible
 806 support for async I/O, with the new linux io_uring interface in
 807 development.  The old write cache concept which cached data in main
 808 memory followed by a blocking pwrite no longer gives any improvement
 809 on modern systems, and may make performance worse on memory-contrained
 810 systems, so this functionality should not be enabled in core smbd
 811 code.
 812
 813 In addition, it complicated the write code, which is a performance
 814 critical code path.
 815
 816 If required for specialist purposes, it can be recreated as a VFS
 817 module.
 818
 819 Retiring DES encryption types in Kerberos.
 820 ------------------------------------------
 821 With this release, support for DES encryption types has been removed from
 822 Samba, and setting DES_ONLY flag for an account will cause Kerberos
 823 authentication to fail for that account (see RFC-6649).
 824
 825 Samba-DC: DES keys no longer saved in DB.
 826 -----------------------------------------
 827 When a new password is set for an account, Samba DC will store random keys
 828 in DB instead of DES keys derived from the password.  If the account is being
 829 migrated to Windbows or to an older version of Samba in order to use DES keys,
 830 the password must be reset to make it work.
 831
 832 Heimdal-DC: removal of weak-crypto.
 833 -----------------------------------
 834 Following removal of DES encryption types from Samba, the embedded Heimdal
 835 build has been updated to not compile weak crypto code (HEIM_WEAK_CRYPTO).
 836
 837 vfs_netatalk: The netatalk VFS module has been removed.
 838 -------------------------------------------------------
 839
 840 The netatalk VFS module has been removed. It was unmaintained and is not needed
 841 any more.
 842
 843 BIND9_FLATFILE deprecated
 844 -------------------------
 845
 846 The BIND9_FLATFILE DNS backend is deprecated in this release and will
 847 be removed in the future.  This was only practically useful on a single
 848 domain controller or under expert care and supervision.
 849
 850 This release removes the 'rndc command' smb.conf parameter, which
 851 supported this configuration by writing out a list of DCs permitted to
 852 make changes to the DNS Zone and nudging the 'named' server if a new
 853 DC was added to the domain.  Administrators using BIND9_FLATFILE will
 854 need to maintain this manually from now on.
 855
 856
 857 smb.conf changes
 858 ================
 859
 860   Parameter Name                     Description                Default
 861   --------------                     -----------                -------
 862
 863   elasticsearch:address              New                        localhost
 864   elasticsearch:port                 New                        9200
 865   elasticsearch:use tls              New                        No
 866   elasticsearch:index                New                        _all
 867   elasticsearch:mappings             New                        DATADIR/elasticsearch_mappings.json
 868   elasticsearch:max results          New                        100
 869   nfs4:acedup                        Changed default            merge
 870   rndc command                       Removed
 871   write cache size                   Removed
 872   spotlight backend                  New                        noindex
 873
 874
 875 CHANGES SINCE 4.12.0rc4
 876 =======================
 877
 878 o  Andrew Bartlett <abartlet@samba.org>
 879    * BUG 14258: dsdb: Correctly handle memory in objectclass_attrs.
 880
 881
 882 CHANGES SINCE 4.12.0rc3
 883 =======================
 884
 885 o  Jeremy Allison <jra@samba.org>
 886    * BUG 14269: s3: DFS: Don't allow link deletion on a read-only share.
 887
 888 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 889    * BUG 14284: pidl/wscript: configure should insist on Parse::Yapp::Driver.
 890
 891 o  Andrew Bartlett <abartlet@samba.org>
 892    * BUG 14270: ldb: Fix search with scope ONE and small result sets.
 893    * BUG 14284: build: Do not check if system perl modules should be bundled.
 894
 895 o  Volker Lendecke <vl@samba.org>
 896    * BUG 14285: smbd fails to handle EINTR from open(2) properly.
 897
 898 o  Stefan Metzmacher <metze@samba.org>
 899    * BUG 14270: ldb: version 2.1.1.
 900
 901
 902 CHANGES SINCE 4.12.0rc2
 903 =======================
 904
 905 o  Jeremy Allison <jra@samba.org>
 906    * BUG 14282: Set getting and setting of MS-DFS redirects on the filesystem
 907      to go through two new VFS functions SMB_VFS_CREATE_DFS_PATHAT() and
 908      SMB_VFS_READ_DFS_PATHAT().
 909
 910 o  Andrew Bartlett <abartlet@samba.org>
 911    * BUG 14255: bootstrap: Remove un-used dependency python3-crypto.
 912
 913 o  Volker Lendecke <vl@samba.org>
 914    * BUG 14247: Fix CID 1458418 and 1458420.
 915    * BUG 14281: lib: Fix a shutdown crash with "clustering = yes".
 916
 917 o  Stefan Metzmacher <metze@samba.org>
 918    * BUG 14247: Winbind member (source3) fails local SAM auth with empty domain
 919      name.
 920    * BUG 14265: winbindd: Handle missing idmap in getgrgid().
 921    * BUG 14271: Don't use forward declaration for GnuTLS typedefs.
 922    * BUG 14280: Add io_uring vfs module.
 923
 924 o  Andreas Schneider <asn@samba.org>
 925    * BUG 14250: libcli:smb: Improve check for gnutls_aead_cipher_(en|de)cryptv2.
 926
 927
 928 CHANGES SINCE 4.12.0rc1
 929 =======================
 930
 931 o  Jeremy Allison <jra@samba.org>
 932    * BUG 14239: s3: lib: nmblib. Clean up and harden nmb packet processing.
 933
 934 o  Andreas Schneider <asn@samba.org>
 935    * BUG 14253: lib:util: Log mkdir error on correct debug levels.
 936
 937
 938 KNOWN ISSUES
 939 ============
 940
 941 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.12#Release_blocking_bugs
 942
 943
 944 #######################################
 945 Reporting bugs & Development Discussion
 946 #######################################
 947
 948 Please discuss this release on the samba-technical mailing list or by
 949 joining the #samba-technical IRC channel on irc.freenode.net.
 950
 951 If you do report problems then please try to send high quality
 952 feedback. If you don't provide vital information to help us track down
 953 the problem then you will probably be ignored.  All bug reports should
 954 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 955 database (https://bugzilla.samba.org/).
 956
 957
 958 ======================================================================
 959 == Our Code, Our Bugs, Our Responsibility.
 960 == The Samba Team
 961 ======================================================================
 962