WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.10.7
   3                            August 22, 2019
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.10 release series.
   8
   9
  10 Changes since 4.10.6:
  11 ---------------------
  12
  13 o  Michael Adam <obnox@samba.org>
  14    * BUG 14010: Unable to create or rename file/directory inside shares
  15      configured with vfs_glusterfs_fuse module.
  16
  17 o  Andrew Bartlett <abartlet@samba.org>
  18    * BUG 13844: build: Allow build when '--disable-gnutls' is set.
  19
  20 o  Björn Baumbach <bb@sernet.de>
  21    * BUG 13973: samba-tool: Add 'import samba.drs_utils' to fsmo.py.
  22
  23 o  Tim Beale <timbeale@catalyst.net.nz>
  24    * BUG 14008: Fix 'Error 32 determining PSOs in system' message on old DB
  25      with FL upgrade.
  26    * BUG 14021: s4/libnet: Fix joining a Windows pre-2008R2 DC.
  27    * BUG 14046: join: Use a specific attribute order for the DsAddEntry
  28      nTDSDSA object.
  29
  30 o  Ralph Boehme <slow@samba.org>
  31    * BUG 14015: vfs_catia: Pass stat info to synthetic_smb_fname().
  32
  33 o  Alexander Bokovoy <ab@samba.org>
  34    * BUG 14091: lookup_name: Allow own domain lookup when flags == 0.
  35
  36 o  Gary Lockyer <gary@catalyst.net.nz>
  37    * BUG 13932: s4 librpc rpc pyrpc: Ensure tevent_context deleted last.
  38
  39 o  Stefan Metzmacher <metze@samba.org>
  40    * BUG 13915: DEBUGC and DEBUGADDC doesn't print into a class specific log
  41      file.
  42    * BUG 13949: Request to keep deprecated option "server schannel",
  43      VMWare Quickprep requires "auto".
  44    * BUG 13967: dbcheck: Fallback to the default tombstoneLifetime of 180 days.
  45    * BUG 13969: dnsProperty fails to decode values from older Windows versions.
  46    * BUG 13973: samba-tool: Use only one LDAP modify for dns partition fsmo
  47      role transfer.
  48
  49 o  Andreas Schneider <asn@samba.org>
  50    * BUG 13960: third_party: Update waf to version 2.0.17.
  51
  52 o  Garming Sam <garming@catalyst.net.nz>
  53    * BUG 14051: netcmd: Allow 'drs replicate --local' to create partitions.
  54
  55 o  Rafael David Tinoco <rafaeldtinoco@ubuntu.com>
  56    * BUG 14017: ctdb-config: Depend on /etc/ctdb/nodes file.
  57
  58
  59 #######################################
  60 Reporting bugs & Development Discussion
  61 #######################################
  62
  63 Please discuss this release on the samba-technical mailing list or by
  64 joining the #samba-technical IRC channel on irc.freenode.net.
  65
  66 If you do report problems then please try to send high quality
  67 feedback. If you don't provide vital information to help us track down
  68 the problem then you will probably be ignored.  All bug reports should
  69 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  70 database (https://bugzilla.samba.org/).
  71
  72
  73 ======================================================================
  74 == Our Code, Our Bugs, Our Responsibility.
  75 == The Samba Team
  76 ======================================================================
  77
  78
  79 Release notes for older releases follow:
  80 ----------------------------------------
  81
  82                    ==============================
  83                    Release Notes for Samba 4.10.6
  84                            July 8, 2019
  85                    ==============================
  86
  87
  88 This is the latest stable release of the Samba 4.10 release series.
  89
  90
  91 Changes since 4.10.5:
  92 ---------------------
  93
  94 o  Jeremy Allison <jra@samba.org>
  95    * BUG 13956: s3: winbind: Fix crash when invoking winbind idmap scripts.
  96    * BUG 13964: smbd does not correctly parse arguments passed to dfree and
  97      quota scripts.
  98
  99 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 100    * BUG 13965: samba-tool dns: use bytes for inet_ntop.
 101
 102 o  Andrew Bartlett <abartlet@samba.org>
 103    * BUG 13828: samba-tool domain provision: Fix --interactive module in
 104      python3.
 105    * BUG 13893: ldb_kv: Skip @ records early in a search full scan.
 106    * BUG 13981: docs: Improve documentation of "lanman auth" and "ntlm auth"
 107      connection.
 108
 109 o  Björn Baumbach <bb@sernet.de>
 110    * BUG 14002: python/ntacls: Use correct "state directory" smb.conf option
 111      instead of "state dir".
 112
 113 o  Ralph Boehme <slow@samba.org>
 114    * BUG 13840: registry: Add a missing include.
 115    * BUG 13944: Fix SMB guest authentication.
 116    * BUG 13958: AppleDouble conversion breaks Resourceforks.
 117    * BUG 13968: vfs_fruit makes direct use of syscalls like mmap() and pread().
 118    * BUG 13987: s3:mdssvc: Fix flex compilation error.
 119
 120 o  Günther Deschner <gd@samba.org>
 121    * BUG 13872: s3/vfs_glusterfs[_fuse]: Avoid using NAME_MAX directly:
 122
 123 o  Aaron Haslett <aaronhaslett@catalyst.net.nz>
 124    * BUG 13799: dsdb:samdb: schemainfo update with relax control.
 125
 126 o  Aliaksei Karaliou <akaraliou@panasas.com>
 127    * BUG 13964: s3:util: Move static file_pload() function to lib/util.
 128
 129 o  Volker Lendecke <vl@samba.org>
 130    * BUG 13957: smbd: Fix a panic.
 131
 132 o  Gary Lockyer <gary@catalyst.net.nz>
 133    * BUG 12478: ldap server: Generate correct referral schemes.
 134    * BUG 13941: s4 dsdb/repl_meta_data: fix use after free in
 135      dsdb_audit_add_ldb_value.
 136    * BUG 13942: s4 dsdb: Fix use after free in
 137      samldb_rename_search_base_callback.
 138
 139 o  Stefan Metzmacher <metze@samba.org>
 140    * BUG 12204: dsdb/repl: we need to replicate the whole schema before we can
 141      apply it.
 142    * BUG 12478: ldb: Release ldb 1.5.5
 143    * BUG 13713: Schema replication fails if link crosses chunk boundary
 144      backwards.
 145    * BUG 13799: 'samba-tool domain schemaupgrade' uses relax control and skips
 146      the schemaInfo update provision.
 147    * BUG 13916: dsdb_audit: avoid printing "... remote host [Unknown]
 148      SID [(NULL SID)] ..."
 149    * BUG 13917: python/ntacls: We only need security.SEC_STD_READ_CONTROL in
 150      order to get the ACL.
 151
 152 o  Shyamsunder Rathi <shyam.rathi@nutanix.com>
 153    * BUG 13947: s3:loadparm: Ensure to truncate FS Volume Label at multibyte
 154      boundary.
 155
 156 o  Andreas Schneider <asn@samba.org>
 157    * BUG 13939: Using Kerberos credentials to print using spoolss doesn't work.
 158
 159 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 160    * BUG 13998: wafsamba: Use native waf timer.
 161
 162 o  Rafael David Tinoco <rafaeldtinoco@ubuntu.com>
 163    * BUG 13984: ctdb-scripts: Fix tcp_tw_recycle existence check.
 164
 165
 166 #######################################
 167 Reporting bugs & Development Discussion
 168 #######################################
 169
 170 Please discuss this release on the samba-technical mailing list or by
 171 joining the #samba-technical IRC channel on irc.freenode.net.
 172
 173 If you do report problems then please try to send high quality
 174 feedback. If you don't provide vital information to help us track down
 175 the problem then you will probably be ignored.  All bug reports should
 176 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 177 database (https://bugzilla.samba.org/).
 178
 179
 180 ======================================================================
 181 == Our Code, Our Bugs, Our Responsibility.
 182 == The Samba Team
 183 ======================================================================
 184
 185
 186 ----------------------------------------------------------------------
 187
 188
 189                    ==============================
 190                    Release Notes for Samba 4.10.5
 191                            June 19, 2019
 192                    ==============================
 193
 194
 195 This is a security release in order to address the following defects:
 196
 197 o  CVE-2019-12435 (Samba AD DC Denial of Service in DNS management server
 198                   (dnsserver))
 199 o  CVE-2019-12436 (Samba AD DC LDAP server crash (paged searches))
 200
 201 =======
 202 Details
 203 =======
 204
 205 o  CVE-2019-12435:
 206    An authenticated user can crash the Samba AD DC's RPC server process via a
 207    NULL pointer dereference.
 208
 209 o  CVE-2019-12436:
 210     An user with read access to the directory can cause a NULL pointer
 211     dereference using the paged search control.
 212
 213 For more details and workarounds, please refer to the security advisories.
 214
 215
 216 Changes since 4.10.4:
 217 ---------------------
 218
 219 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 220    * BUG 13922: CVE-2019-12435 rpc/dns: Avoid NULL deference if zone not found
 221      in DnssrvOperation2.
 222    * BUG 13951: CVE-2019-12436 dsdb/paged_results: Ignore successful results
 223      without messages.
 224
 225
 226 #######################################
 227 Reporting bugs & Development Discussion
 228 #######################################
 229
 230 Please discuss this release on the samba-technical mailing list or by
 231 joining the #samba-technical IRC channel on irc.freenode.net.
 232
 233 If you do report problems then please try to send high quality
 234 feedback. If you don't provide vital information to help us track down
 235 the problem then you will probably be ignored.  All bug reports should
 236 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 237 database (https://bugzilla.samba.org/).
 238
 239
 240 ======================================================================
 241 == Our Code, Our Bugs, Our Responsibility.
 242 == The Samba Team
 243 ======================================================================
 244
 245
 246 ----------------------------------------------------------------------
 247
 248
 249                    ==============================
 250                    Release Notes for Samba 4.10.4
 251                             May 22, 2019
 252                    ==============================
 253
 254
 255 This is the latest stable release of the Samba 4.10 release series.
 256
 257
 258 Changes since 4.10.3:
 259 ---------------------
 260
 261 o  Jeremy Allison <jra@samba.org>
 262    * BUG 13938: s3: SMB1: Don't allow recvfile on stream fsp's.
 263
 264 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 265    * BUG 13882: py/provision: Fix for Python 2.6.
 266
 267 o  Tim Beale <timbeale@catalyst.net.nz>
 268    * BUG 13873: netcmd: Fix 'passwordsettings --max-pwd-age' command.
 269
 270 o  Ralph Boehme <slow@samba.org>
 271    * BUG 13938: s3:smbd: Don't use recvfile on streams.
 272
 273 o  Günther Deschner <gd@samba.org>
 274    * BUG 13861: s3-libnet_join: 'net ads join' to child domain fails when using
 275      "-U admin@forestroot".
 276
 277 o  David Disseldorp <ddiss@samba.org>
 278    * BUG 13896: vfs_ceph: Explicitly enable libcephfs POSIX ACL support.
 279    * BUG 13940: vfs_ceph: Fix cephwrap_flistxattr() debug message.
 280
 281 o  Amitay Isaacs <amitay@gmail.com>
 282    * BUG 13895: ctdb-common: Avoid race between fd and signal events.
 283    * BUG 13943: ctdb-common: Fix memory leak in run_proc.
 284
 285 o  Volker Lendecke <vl@samba.org>
 286    * BUG 13892: lib: Initialize getline() arguments.
 287    * BUG 13903: winbind: Fix overlapping id ranges.
 288
 289 o  Gary Lockyer <gary@catalyst.net.nz>
 290    * BUG 13902: lib util debug: Increase format buffer to 4KiB.
 291    * BUG 13927: nsswitch pam_winbind: Fix Asan use after free.
 292    * BUG 13929: s4 lib socket: Ensure address string owned by parent struct.
 293    * BUG 13936: s3 rpc_client: Fix Asan stack use after scope.
 294
 295 o  Stefan Metzmacher <metze@samba.org>
 296    * BUG 10097: s3:smbd: Handle IO_REPARSE_TAG_DFS in
 297      SMB_FIND_FILE_FULL_DIRECTORY_INFO.
 298    * BUG 10344: smb2_tcon: Avoid STATUS_PENDING completely on tdis.
 299    * BUG 12845: smb2_sesssetup: avoid STATUS_PENDING responses for session
 300      setup.
 301    * BUG 13698: smb2_tcon: Avoid STATUS_PENDING completely on tdis.
 302    * BUG 13796: smb2_sesssetup: avoid STATUS_PENDING responses for session
 303      setup.
 304    * BUG 13843: dbcheck: Fix the err_empty_attribute() check.
 305    * BUG 13858: vfs_snapper: Drop unneeded fstat handler.
 306    * BUG 13862: vfs_default: Fix vfswrap_offload_write_send()
 307      NT_STATUS_INVALID_VIEW_SIZE check.
 308    * BUG 13863: smb2_server: Grant all 8192 credits to clients.
 309    * BUG 13919: smbd: Implement SMB_FILE_NORMALIZED_NAME_INFORMATION handling.
 310
 311 o  Anoop C S <anoopcs@redhat.com>
 312    * BUG 13872: s3/vfs_glusterfs: Dynamically determine NAME_MAX.
 313
 314 o  Robert Sander <r.sander@heinlein-support.de>
 315    * BUG 13918: s3: modules: ceph: Use current working directory instead of
 316      share path.
 317
 318 o  Christof Schmitt <cs@samba.org>
 319    * BUG 13831: winbind: Use domain name from lsa query for sid_to_name cache
 320      entry.
 321    * BUG 13865: memcache: Increase size of default memcache to 512k.
 322
 323 o  Andreas Schneider <asn@samba.org>
 324    * BUG 13857: docs: Update smbclient manpage for "--max-protocol".
 325    * BUG 13861: 'net ads join' to child domain fails when using
 326      "-U admin@forestroot".
 327    * BUG 13937: s3:utils: If share is NULL in smbcacls, don't print it.
 328    * BUG 13939: s3:smbspool: Fix regression printing with Kerberos credentials.
 329
 330 o  Martin Schwenke <martin@meltin.net>
 331    * BUG 13860: ctdb-scripts: CTDB restarts failed NFS RPC services by hand,
 332      which is incompatible with systemd.
 333    * BUG 13888: ctdb-daemon: Revert "We can not assume that just because we
 334      could complete a TCP handshake".
 335    * BUG 13930: ctdb-daemon: Never use 0 as a client ID.
 336    * BUG 13943: ctdb-common: Fix memory leak.
 337
 338 o  Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 339    * BUG 13904: s3:debug: Enable logging for early startup failures.
 340
 341
 342 #######################################
 343 Reporting bugs & Development Discussion
 344 #######################################
 345
 346 Please discuss this release on the samba-technical mailing list or by
 347 joining the #samba-technical IRC channel on irc.freenode.net.
 348
 349 If you do report problems then please try to send high quality
 350 feedback. If you don't provide vital information to help us track down
 351 the problem then you will probably be ignored.  All bug reports should
 352 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 353 database (https://bugzilla.samba.org/).
 354
 355
 356 ======================================================================
 357 == Our Code, Our Bugs, Our Responsibility.
 358 == The Samba Team
 359 ======================================================================
 360
 361
 362 ----------------------------------------------------------------------
 363
 364
 365                    ==============================
 366                    Release Notes for Samba 4.10.3
 367                             May 14, 2019
 368                    ==============================
 369
 370
 371 This is a security release in order to address the following defect:
 372
 373 o  CVE-2018-16860 (Samba AD DC S4U2Self/S4U2Proxy unkeyed checksum)
 374
 375
 376 =======
 377 Details
 378 =======
 379
 380 o  CVE-2018-16860:
 381    The checksum validation in the S4U2Self handler in the embedded Heimdal KDC
 382    did not first confirm that the checksum was keyed, allowing replacement of
 383    the requested target (client) principal.
 384
 385 For more details and workarounds, please refer to the security advisory.
 386
 387
 388 Changes since 4.10.2:
 389 ---------------------
 390
 391 o  Isaac Boukris <iboukris@gmail.com>
 392    * BUG 13685: CVE-2018-16860: Heimdal KDC: Reject PA-S4U2Self with unkeyed
 393      checksum.
 394
 395
 396 #######################################
 397 Reporting bugs & Development Discussion
 398 #######################################
 399
 400 Please discuss this release on the samba-technical mailing list or by
 401 joining the #samba-technical IRC channel on irc.freenode.net.
 402
 403 If you do report problems then please try to send high quality
 404 feedback. If you don't provide vital information to help us track down
 405 the problem then you will probably be ignored.  All bug reports should
 406 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 407 database (https://bugzilla.samba.org/).
 408
 409
 410 ======================================================================
 411 == Our Code, Our Bugs, Our Responsibility.
 412 == The Samba Team
 413 ======================================================================
 414
 415
 416 ----------------------------------------------------------------------
 417
 418
 419                    ==============================
 420                    Release Notes for Samba 4.10.2
 421                            April 8, 2019
 422                    ==============================
 423
 424
 425 This is a security release in order to address the following defects:
 426
 427 o  CVE-2019-3870 (World writable files in Samba AD DC private/ dir)
 428 o  CVE-2019-3880 (Save registry file outside share as unprivileged user)
 429
 430
 431 =======
 432 Details
 433 =======
 434
 435 o  CVE-2019-3870:
 436    During the provision of a new Active Directory DC, some files in the private/
 437    directory are created world-writable.
 438
 439 o  CVE-2019-3880:
 440    Authenticated users with write permission can trigger a symlink traversal to
 441    write or detect files outside the Samba share.
 442
 443 For more details and workarounds, please refer to the security advisories.
 444
 445
 446 Changes since 4.10.1:
 447 ---------------------
 448
 449 o  Andrew Bartlett <abartlet@samba.org>
 450    * BUG 13834: CVE-2019-3870: pysmbd: Ensure a zero umask is set for
 451      smbd.mkdir().
 452
 453 o  Jeremy Allison <jra@samba.org>
 454    * BUG 13851: CVE-2018-14629: rpc: winreg: Remove implementations of
 455      SaveKey/RestoreKey.
 456
 457
 458 #######################################
 459 Reporting bugs & Development Discussion
 460 #######################################
 461
 462 Please discuss this release on the samba-technical mailing list or by
 463 joining the #samba-technical IRC channel on irc.freenode.net.
 464
 465 If you do report problems then please try to send high quality
 466 feedback. If you don't provide vital information to help us track down
 467 the problem then you will probably be ignored.  All bug reports should
 468 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 469 database (https://bugzilla.samba.org/).
 470
 471
 472 ======================================================================
 473 == Our Code, Our Bugs, Our Responsibility.
 474 == The Samba Team
 475 ======================================================================
 476
 477
 478 ----------------------------------------------------------------------
 479
 480
 481                    ==============================
 482                    Release Notes for Samba 4.10.1
 483                            April 3, 2019
 484                    ==============================
 485
 486
 487 This is the latest stable release of the Samba 4.10 release series.
 488
 489
 490 Changes since 4.10.0:
 491 ---------------------
 492
 493 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 494    * BUG 13837: py/kcc_utils: py2.6 compatibility.
 495
 496 o  Philipp Gesang <philipp.gesang@intra2net.com>
 497    * BUG 13869: libcli: permit larger values of DataLength in
 498      SMB2_ENCRYPTION_CAPABILITIES of negotiate response.
 499
 500 o  Michael Hanselmann <public@hansmi.ch>
 501    * BUG 13840: regfio: Improve handling of malformed registry hive files.
 502
 503 o  Amitay Isaacs <amitay@samba.org>
 504    * BUG 13789: ctdb-version: Simplify version string usage.
 505
 506 o  Volker Lendecke <vl@samba.org>
 507    * BUG 13859: lib: Make fd_load work for non-regular files.
 508
 509 o  Stefan Metzmacher <metze@samba.org>
 510    * BUG 13816: dbcheck in the middle of the tombstone garbage collection causes
 511      replication failures, dbcheck: add --selftest-check-expired-tombstones
 512      cmdline option.
 513    * BUG 13818: ndr_spoolss_buf: Fix out of scope use of stack variable in
 514      NDR_SPOOLSS_PUSH_ENUM_OUT().
 515
 516 o  Anoop C S <anoopcs@redhat.com>
 517    * BUG 13854: s4/messaging: Fix undefined reference in linking
 518      libMESSAGING-samba4.so.
 519
 520 o  Garming Sam <garming@catalyst.net.nz>
 521    * BUG 13836: acl_read: Fix regression for empty lists.
 522
 523 o  Michael Saxl <mike@mwsys.mine.bz>
 524    * BUG 13841: s4:dlz make b9_has_soa check dc=@ node.
 525
 526 o  Andreas Schneider <asn@samba.org>
 527    * BUG 13832: s3:client: Fix printing via smbspool backend with kerberos auth.
 528    * BUG 13847: s4:librpc: Fix installation of Samba.
 529    * BUG 13848: s3:lib: Fix the debug message for adding cache entries.
 530    * BUG 13793: s3:utils: Add 'smbstatus -L --resolve-uids' to show username.
 531    * BUG 13848: s3:lib: Fix the debug message for adding cache entries.
 532    * BUG 13853: s3:waf: Fix the detection of makdev() macro on Linux.
 533
 534 o  Martin Schwenke <martin@meltin.net>
 535    * BUG 13789: ctdb-build: Drop creation of .distversion in tarball.
 536    * BUG 13838: ctdb-packaging: Test package requires tcpdump, ctdb package
 537      should not own system library directory.
 538
 539
 540 #######################################
 541 Reporting bugs & Development Discussion
 542 #######################################
 543
 544 Please discuss this release on the samba-technical mailing list or by
 545 joining the #samba-technical IRC channel on irc.freenode.net.
 546
 547 If you do report problems then please try to send high quality
 548 feedback. If you don't provide vital information to help us track down
 549 the problem then you will probably be ignored.  All bug reports should
 550 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 551 database (https://bugzilla.samba.org/).
 552
 553
 554 ======================================================================
 555 == Our Code, Our Bugs, Our Responsibility.
 556 == The Samba Team
 557 ======================================================================
 558
 559
 560 ----------------------------------------------------------------------
 561
 562
 563                    ==============================
 564                    Release Notes for Samba 4.10.0
 565                            March 19, 2019
 566                    ==============================
 567
 568
 569 This is the first stable release of the Samba 4.10 release series.
 570 Please read the release notes carefully before upgrading.
 571
 572
 573 NEW FEATURES/CHANGES
 574 ====================
 575
 576 GPO Improvements
 577 ----------------
 578
 579 A new 'samba-tool gpo backup' command has been added that can export a
 580 set of Group Policy Objects from a domain in a generalised XML format.
 581
 582 A corresponding 'samba-tool gpo restore' command has been added to
 583 rebuild the Group Policy Objects from the XML after generalization.
 584 (The administrator needs to correct the values of XML entities between
 585 the backup and restore to account for the change in domain).
 586
 587 KDC prefork
 588 -----------
 589
 590 The KDC now supports the pre-fork process model and worker processes will be
 591 forked for the KDC when the pre-fork process model is selected for samba.
 592
 593 Prefork 'prefork children'
 594 --------------------------
 595
 596 The default value for this smdb.conf parameter has been increased from 1 to
 597 4.
 598
 599 Netlogon prefork
 600 ----------------
 601
 602 DCERPC now supports pre-forked NETLOGON processes. The netlogon processes are
 603 pre-forked when the prefork process model is selected for samba.
 604
 605 Offline domain backups
 606 ----------------------
 607
 608 The 'samba-tool domain backup' command has been extended with a new 'offline'
 609 option. This safely creates a backup of the local DC's database directly from
 610 disk. The main benefits of an offline backup are it's quicker, it stores more
 611 database details (for forensic purposes), and the samba process does not have
 612 to be running when the backup is made. Refer to the samba-tool help for more
 613 details on using this command.
 614
 615 Group membership statistics
 616 ---------------------------
 617
 618 A new 'samba-tool group stats' command has been added. This provides summary
 619 information about how the users are spread across groups in your domain.
 620 The 'samba-tool group list --verbose' command has also been updated to include
 621 the number of users in each group.
 622
 623 Paged results LDAP control
 624 --------------------------
 625
 626 The behaviour of the paged results control (1.2.840.113556.1.4.319, RFC2696)
 627 has been changed to more closely match Windows servers, to improve memory
 628 usage. Paged results may be used internally (or is requested by the user) by
 629 LDAP libraries or tools that deal with large result sizes, for example, when
 630 listing all the objects in the database.
 631
 632 Previously, results were returned as a snapshot of the database but now,
 633 some changes made to the set of results while paging may be reflected in the
 634 responses. If strict inter-record consistency is required in answers (which is
 635 not possible on Windows with large result sets), consider avoiding the paged
 636 results control or alternatively, it might be possible to enforce restrictions
 637 using the LDAP filter expression.
 638
 639 For further details see https://wiki.samba.org/index.php/Paged_Results
 640
 641 Prefork process restart
 642 -----------------------
 643
 644 The pre-fork process model now restarts failed processes. The delay between
 645 restart attempts is controlled by the "prefork backoff increment" (default = 10)
 646 and "prefork maximum backoff" (default = 120) smbd.conf parameters.  A linear
 647 back off strategy is used with "prefork backoff increment" added to the
 648 delay between restart attempts up until it reaches "prefork maximum backoff".
 649
 650 Using the default sequence the restart delays (in seconds) are:
 651   0, 10, 20, ..., 120, 120, ...
 652
 653 Standard process model
 654 ----------------------
 655
 656 When using the standard process model samba forks a new process to handle ldap
 657 and netlogon connections.  Samba now honours the 'max smbd processes' smb.conf
 658 parameter.  The default value of 0, indicates there is no limit.  The limit
 659 is applied individually to netlogon and ldap.  When the process limit is
 660 exceeded Samba drops new connections immediately.
 661
 662 python3 support
 663 ---------------
 664
 665 This is the first release of Samba which has full support for Python 3.
 666 Samba 4.10 still has support for Python 2, however, Python 3 will be used by
 667 default, i.e. 'configure' & 'make' will execute using python3.
 668
 669 To build Samba with python2 you *must* set the 'PYTHON' environment variable
 670 for both the 'configure' and 'make' steps, i.e.
 671    'PYTHON=python2 ./configure'
 672    'PYTHON=python2 make'
 673 This will override the python3 default.
 674
 675 Alternatively, it is possible to produce Samba Python bindings for both
 676 Python 2 and Python 3. To do so, specify '--extra-python=/usr/bin/python2'
 677 as part of the 'configure' command. Note that python3 will still be used as
 678 the default in this case.
 679
 680 Note that Samba 4.10 supports Python 3.4 onwards.
 681
 682 Future Python support
 683 ---------------------
 684
 685 Samba 4.10 will be the last release that comes with full support for
 686 Python 2. Unfortunately, the Samba Team doesn't have the resources to support
 687 both Python 2 and Python 3 long-term.
 688
 689 Samba 4.11 will not have any runtime support for Python 2. This means if
 690 you use Python 2 bindings it is time to migrate to Python 3 now.
 691
 692 If you are building Samba using the '--disable-python' option (i.e. you're
 693 excluding all the run-time Python support), then this will continue to work
 694 on a system that supports either python2 or python3.
 695
 696 Also note that Samba 4.11 will most likely only support Python 3.6 onwards.
 697
 698 JSON logging
 699 ------------
 700
 701 Authentication messages now contain the Windows Event Id "eventId" and logon
 702 type "logonType". The supported event codes and logon types are:
 703   Event codes:
 704     4624  Successful logon
 705     4625  Unsuccessful logon
 706
 707   Logon Types:
 708     2  Interactive
 709     3  Network
 710     8  NetworkCleartext
 711
 712 The version number for Authentication messages is now 1.1, changed from 1.0
 713
 714 Password change messages now contain the Windows Event Id "eventId", the
 715 supported event Id's are:
 716   4723 Password changed
 717   4724 Password reset
 718
 719 The version number for PasswordChange messages is now 1.1, changed from 1.0
 720
 721 Group membership change messages now contain the Windows Event Id "eventId",
 722 the supported event Id's are:
 723   4728 A member was added to a security enabled global group
 724   4729 A member was removed from a security enabled global group
 725   4732 A member was added to a security enabled local group
 726   4733 A member was removed from a security enabled local group
 727   4746 A member was added to a security disabled local group
 728   4747 A member was removed from a security disabled local group
 729   4751 A member was added to a security disabled global group
 730   4752 A member was removed from a security disabled global group
 731   4756 A member was added to a security enabled universal group
 732   4757 A member was removed from a security enabled universal group
 733   4761 A member was added to a security disabled universal group
 734   4762 A member was removed from a security disabled universal group
 735
 736
 737 The version number for GroupChange messages is now 1.1, changed from 1.0. Also
 738 A GroupChange message is generated when a new user is created to log that the
 739 user has been added to their primary group.
 740
 741 The leading "JSON <message type>:" and source file  prefix of the JSON formatted
 742 log entries has been removed to make the parsing of the JSON log messages
 743 easier. JSON log entries now start with 2 spaces followed by an opening brace
 744 i.e. "  {"
 745
 746 SMBv2 samba-tool support
 747 ------------------------
 748
 749 On previous releases, some samba-tool commands would not work against a remote
 750 DC that had SMBv1 disabled. SMBv2 support has now been added for samba-tool.
 751 The affected commands are 'samba-tool domain backup|rename' and the
 752 'samba-tool gpo' set of commands. Refer also bug #13676.
 753
 754 New glusterfs_fuse VFS module
 755 -----------------------------
 756
 757 The new vfs_glusterfs_fuse module improves performance when Samba
 758 accesses a glusterfs volume mounted via FUSE (Filesystem in Userspace
 759 as part of the Linux kernel). It achieves that by leveraging a
 760 mechanism to retrieve the appropriate case of filenames by querying a
 761 specific extended attribute in the filesystem. No extra configuration
 762 is required to use this module, only glusterfs_fuse needs to be set in
 763 the "vfs objects" parameter. Further details can be found in the
 764 vfs_glusterfs_fuse(8) manpage. This new vfs_glusterfs_fuse module does
 765 not replace the existing vfs_glusterfs module, it just provides an
 766 additional, alternative mechanism to access a Gluster volume.
 767
 768 REMOVED FEATURES
 769 ================
 770
 771 MIT Kerberos build of the AD DC
 772 -------------------------------
 773
 774 While not removed, the MIT Kerberos build of the Samba AD DC is still
 775 considered experimental.  Because Samba will not issue security
 776 patches for this configuration, such builds now require the explicit
 777 configure option: --with-experimental-mit-ad-dc
 778
 779 For further details see
 780 https://wiki.samba.org/index.php/Running_a_Samba_AD_DC_with_MIT_Kerberos_KDC
 781
 782 samba_backup
 783 ------------
 784
 785 The samba_backup script has been removed. This has now been replaced by the
 786 'samba-tool domain backup offline' command.
 787
 788 SMB client Python bindings
 789 --------------------------
 790
 791 The SMB client python bindings are now deprecated and will be removed in future
 792 Samba releases. This will only affects users that may have used the Samba
 793 Python bindings to write their own utilities, i.e. users with a custom Python
 794 script that includes the line 'from samba import smb'.
 795
 796 smb.conf changes
 797 ================
 798
 799   Parameter Name                     Description                Default
 800   --------------                     -----------                -------
 801   prefork backoff increment   Delay added to process restart    10 (seconds)
 802                               between attempts.
 803   prefork maximum backoff     Maximum delay for process between 120 (seconds)
 804                               process restart attempts
 805   smbd search ask sharemode   Name changed, old name was
 806                               "smbd:search ask sharemode"
 807   smbd async dosmode          Name changed, old name was
 808                               "smbd:async dosmode"
 809   smbd max async dosmode      Name changed, old name was
 810                               "smbd:max async dosmode"
 811   smbd getinfo ask sharemode  New: similar to "smbd search ask yes
 812                               sharemode" but for SMB getinfo
 813
 814
 815 CHANGES SINCE 4.10.0rc4
 816 =======================
 817
 818 o  Andrew Bartlett <abartlet@samba.org>
 819    * BUG 13760: s4-server: Open and close a transaction on sam.ldb at startup.
 820
 821 o  Ralph Boehme <slow@samba.org>
 822    * BUG 13812: access_check_max_allowed() doesn't process "Owner Rights" ACEs.
 823
 824 o  Joe Guo <joeg@catalyst.net.nz>
 825    * s4/scripting/bin: Open unicode files with utf8 encoding and write
 826    * unicode string.
 827
 828 o  Björn Jacke <bj@sernet.de>
 829    * BUG 13759: sambaundoguididx: Use the right escaped oder unescaped sam ldb
 830      files.
 831
 832 o  Volker Lendecke <vl@samba.org>
 833    * BUG 13813: Fix idmap cache pollution with S-1-22- IDs on winbind hickup.
 834
 835 o  Christof Schmitt <cs@samba.org>
 836    * passdb: Update ABI to 0.27.2.
 837    * BUG 13813: lib/winbind_util: Add winbind_xid_to_sid for --without-winbind.
 838
 839 o  Andreas Schneider <asn@samba.org>
 840    * BUG 13823: lib:util: Move debug message for mkdir failing to log level 1.
 841
 842
 843 CHANGES SINCE 4.10.0rc3
 844 =======================
 845
 846 o  Jeremy Allison <jra@samba.org>
 847    * BUG 13803: SMB1 POSIX mkdir does case insensitive name lookup.
 848
 849 o  Ralph Boehme <slow@samba.org>
 850    * BUG 13802: Fix idmap xid2sid cache issue.
 851
 852 o  David Disseldorp <ddiss@samba.org>
 853    * BUG 13807: vfs_ceph strict_allocate_ftruncate calls (local FS) ftruncate
 854      and fallocate.
 855
 856 o  Volker Lendecke <vl@samba.org>
 857    * BUG 13786: messages_dgm: Properly handle receiver re-initialization.
 858
 859 o  Gary Lockyer <gary@catalyst.net.nz>
 860    * BUG 13765: man pages: Document prefork process model.
 861    * BUG 13773: CVE-2019-3824 ldb: wildcard_match end of data check.
 862
 863 o  Stefan Metzmacher <metze@samba.org>
 864    * tdb: Fix compatibility of wscript with older python.
 865    * tevent: version 0.9.39
 866    * BUG 13773: CVE-2019-3824 ldb: version 1.5.4
 867
 868 o  David Mulder <dmulder@suse.com>
 869    * Search for location of waf script.
 870
 871 o  Noel Power <noel.power@suse.com>
 872    * BUG 13777: buildtools/wafsamba: Avoid decode when using python2.
 873
 874 o  Jiří Šašek <jiri.sasek@oracle.com>
 875    * BUG 13704: notifyd: Fix SIGBUS on sparc.
 876
 877 o  Swen Schillig <swen@linux.ibm.com>
 878    * BUG 13791: ctdb: Buffer write beyond limits.
 879
 880 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 881    * BUG 13773: CVE-2019-3824 ldb: Out of bound read in ldb_wildcard_compare.
 882
 883 o  Martin Schwenke <martin@meltin.net>
 884    * BUG 13790: ctdb-config: Change example recovery lock setting to one that
 885      fails.
 886    * BUG 13800: Fix recovery lock bug.
 887
 888
 889 CHANGES SINCE 4.10.0rc2
 890 =======================
 891
 892 o  Jeremy Allison <jra@samba.org>
 893    * BUG 13690: smbd: uid: Don't crash if 'force group' is added to an existing
 894      share connection.
 895    * BUG 13770: s3: VFS: vfs_fruit. Fix the NetAtalk deny mode compatibility
 896      code.
 897
 898 o  Andrew Bartlett <abartlet@samba.org>
 899    * ldb: Release ldb 1.5.3
 900    * BUG 13762: Avoid inefficient one-level searches.
 901    * BUG 13772: The test api.py should not rely on order of entries in dict.
 902
 903 o  Tim Beale <timbeale@catalyst.net.nz>
 904    * BUG 13762: ldb: Avoid inefficient one-level searches.
 905
 906 o  Ralph Boehme <slow@samba.org>
 907    * BUG 13776: tldap: Avoid use after free errors.
 908
 909 o  Günther Deschner <gd@samba.org>
 910    * BUG 13746: s3-smbd: Use fruit:model string for mDNS registration.
 911
 912 o  David Disseldorp <ddiss@samba.org>
 913    * BUG 13766: printing: Check lp_load_printers() prior to pcap cache update.
 914
 915 o  Christof Schmitt <cs@samba.org>
 916    * BUG 13787: waf: Check for libnscd.
 917
 918 o  Andreas Schneider <asn@samba.org>
 919    * BUG 13770: s3:vfs: Correctly check if OFD locks should be enabled or not.
 920    * BUG 13778: Public ZERO_STRUCT() uses undefined C11 function memset_s().
 921
 922
 923 CHANGES SINCE 4.10.0rc1
 924 =======================
 925
 926 o  Jeremy Allison <jra@samba.org>
 927    * BUG 13750: libcli: dns: Change internal DNS_REQUEST_TIMEOUT from 2 to 10
 928      seconds.
 929
 930 o  Tim Beale <timbeale@catalyst.net.nz>
 931    * BUG 13676: samba-tool SMB/sysvol connections do not work if SMBv1 is
 932      disabled.
 933    * BUG 13747: join: Throw CommandError instead of Exception for simple errors.
 934
 935 o  Günther Deschner <gd@samba.org>
 936    * BUG 13774: s3-vfs: Add glusterfs_fuse vfs module.
 937
 938 o  Volker Lendecke <vl@samba.org>
 939    * BUG 13742: ctdb: Print locks latency in machinereadable stats.
 940
 941 o  Stefan Metzmacher <metze@samba.org>
 942    * BUG 13752: s4:server: Add support for 'smbcontrol samba shutdown'.
 943
 944 o  Anoop C S <anoopcs@redhat.com>
 945    * BUG 13330: vfs_glusterfs: Adapt to changes in libgfapi signatures.
 946    * BUG 13774: s3-vfs: Use ENOATTR in errno comparison for getxattr.
 947
 948 o  Justin Stephenson <jstephen@redhat.com>
 949    * BUG 13727: s3:libsmb: Honor disable_netbios option in smbsock_connect_send.
 950
 951
 952 KNOWN ISSUES
 953 ============
 954
 955 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.10#Release_blocking_bugs
 956
 957
 958 #######################################
 959 Reporting bugs & Development Discussion
 960 #######################################
 961
 962 Please discuss this release on the samba-technical mailing list or by
 963 joining the #samba-technical IRC channel on irc.freenode.net.
 964
 965 If you do report problems then please try to send high quality
 966 feedback. If you don't provide vital information to help us track down
 967 the problem then you will probably be ignored.  All bug reports should
 968 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 969 database (https://bugzilla.samba.org/).
 970
 971
 972 ======================================================================
 973 == Our Code, Our Bugs, Our Responsibility.
 974 == The Samba Team
 975 ======================================================================
 976