WHATSNEW.txt

   1                    ===============================
   2                    Release Notes for Samba 4.14.13
   3                            April 04, 2022
   4                    ===============================
   5
   6
   7 This is the last bugfix release of the Samba 4.14 release series. There will be
   8 security releases only beyond this point.
   9
  10
  11 Changes since 4.14.12
  12 ---------------------
  13
  14 o  Jeremy Allison <jra@samba.org>
  15    * BUG 14169: Renaming file on DFS root fails with
  16      NT_STATUS_OBJECT_PATH_NOT_FOUND.
  17    * BUG 14737: Samba does not response STATUS_INVALID_PARAMETER when opening 2
  18      objects with same lease key.
  19    * BUG 14938: NT error code is not set when overwriting a file during rename
  20      in libsmbclient.
  21
  22 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
  23    * BUG 14996: Fix ldap simple bind with TLS auditing.
  24
  25 o  Ralph Boehme <slow@samba.org>
  26    * BUG 14674: net ads info shows LDAP Server: 0.0.0.0 depending on contacted
  27      server.
  28
  29 o  Samuel Cabrero <scabrero@suse.de>
  30    * BUG 14979: Problem when winbind renews Kerberos.
  31
  32 o  Pavel Filipenský <pfilipen@redhat.com>
  33    * BUG 14971: virusfilter_vfs_openat: Not scanned: Directory or special file.
  34
  35 o  Elia Geretto <elia.f.geretto@gmail.com>
  36    * BUG 14983: NT_STATUS_ACCESS_DENIED translates into EPERM instead of EACCES
  37      in SMBC_server_internal.
  38
  39 o  Björn Jacke <bj@sernet.de>
  40    * BUG 13631: DFS fix for AIX broken.
  41
  42 o  Stefan Metzmacher <metze@samba.org>
  43    * BUG 13879: Simple bind doesn't work against an RODC (with non-preloaded
  44      users).
  45    * BUG 14641: Crash of winbind on RODC.
  46    * BUG 14865: Uncached logon on RODC always fails once.
  47    * BUG 14951: KVNO off by 100000.
  48    * BUG 14968: smb2_signing_decrypt_pdu() may not decrypt with
  49      gnutls_aead_cipher_decrypt() from gnutls before 3.5.2.
  50    * BUG 14984: Changing the machine password against an RODC likely destroys
  51      the domain join.
  52    * BUG 14993: authsam_make_user_info_dc() steals memory from its struct
  53      ldb_message *msg argument.
  54    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
  55    * BUG 15001: LDAP simple binds should honour "old password allowed period".
  56    * BUG 15003: wbinfo -a doesn't work reliable with upn names.
  57
  58 o  Garming Sam <garming@catalyst.net.nz>
  59    * BUG 13879: Simple bind doesn't work against an RODC (with non-preloaded
  60      users).
  61
  62 o  Joseph Sutton <josephsutton@catalyst.net.nz>
  63    * BUG 14621: "password hash userPassword schemes = CryptSHA256" does not seem
  64      to work with samba-tool.
  65    * BUG 14984: Changing the machine password against an RODC likely destroys
  66      the domain join.
  67
  68
  69 #######################################
  70 Reporting bugs & Development Discussion
  71 #######################################
  72
  73 Please discuss this release on the samba-technical mailing list or by
  74 joining the #samba-technical:matrix.org matrix room, or
  75 #samba-technical IRC channel on irc.libera.chat.
  76
  77
  78 If you do report problems then please try to send high quality
  79 feedback. If you don't provide vital information to help us track down
  80 the problem then you will probably be ignored.  All bug reports should
  81 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  82 database (https://bugzilla.samba.org/).
  83
  84
  85 ======================================================================
  86 == Our Code, Our Bugs, Our Responsibility.
  87 == The Samba Team
  88 ======================================================================
  89
  90
  91 Release notes for older releases follow:
  92 ----------------------------------------
  93                    ===============================
  94                    Release Notes for Samba 4.14.12
  95                           January 31, 2022
  96                    ===============================
  97
  98
  99 This is a security release in order to address the following defects:
 100
 101 o CVE-2021-44142: Out-of-Bound Read/Write on Samba vfs_fruit module.
 102                   https://www.samba.org/samba/security/CVE-2021-44142.html
 103
 104 o CVE-2022-0336:  Re-adding an SPN skips subsequent SPN conflict checks.
 105                   https://www.samba.org/samba/security/CVE-2022-0336.html
 106
 107
 108 Changes since 4.14.11
 109 ---------------------
 110
 111 o  Ralph Boehme <slow@samba.org>
 112    * BUG 14914: CVE-2021-44142.
 113
 114 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 115    * BUG 14950: CVE-2022-0336.
 116
 117
 118 #######################################
 119 Reporting bugs & Development Discussion
 120 #######################################
 121
 122 Please discuss this release on the samba-technical mailing list or by
 123 joining the #samba-technical IRC channel on irc.freenode.net.
 124
 125 If you do report problems then please try to send high quality
 126 feedback. If you don't provide vital information to help us track down
 127 the problem then you will probably be ignored.  All bug reports should
 128 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 129 database (https://bugzilla.samba.org/).
 130
 131
 132 ======================================================================
 133 == Our Code, Our Bugs, Our Responsibility.
 134 == The Samba Team
 135 ======================================================================
 136
 137
 138 ----------------------------------------------------------------------
 139                    ===============================
 140                    Release Notes for Samba 4.14.11
 141                           December 15, 2021
 142                    ===============================
 143
 144
 145 This is the latest stable release of the Samba 4.14 release series.
 146
 147 Important Notes
 148 ===============
 149
 150 There have been a few regressions in the security release 4.14.10:
 151
 152 o CVE-2020-25717: A user on the domain can become root on domain members.
 153                   https://www.samba.org/samba/security/CVE-2020-25717.html
 154                   PLEASE [RE-]READ!
 155                   The instructions have been updated and some workarounds
 156                   initially adviced for 4.14.10 are no longer required and
 157                   should be reverted in most cases.
 158
 159 o BUG-14902: User with multiple spaces (eg Fred<space><space>Nurk) become
 160              un-deletable. While this release should fix this bug, it is
 161              adviced to have a look at the bug report for more detailed
 162              information, see https://bugzilla.samba.org/show_bug.cgi?id=14902.
 163
 164 Changes since 4.14.10
 165 ---------------------
 166
 167 o  Jeremy Allison <jra@samba.org>
 168    * BUG 14878: Recursive directory delete with veto files is broken.
 169    * BUG 14879: A directory containing dangling symlinks cannot be deleted by
 170      SMB2 alone when they are the only entry in the directory.
 171
 172 o  Andrew Bartlett <abartlet@samba.org>
 173    * BUG 14656: Spaces incorrectly collapsed in ldb attributes.
 174    * BUG 14694: Ensure that the LDB request has not timed out during filter
 175      processing as the LDAP server MaxQueryDuration is otherwise not honoured.
 176    * BUG 14901: The CVE-2020-25717 username map [script] advice has undesired
 177      side effects for the local nt token.
 178    * BUG 14902: User with multiple spaces (eg Fred<space><space>Nurk) become un-
 179      deletable.
 180
 181 o  Ralph Boehme <slow@samba.org>
 182    * BUG 14127: Avoid storing NTTIME_THAW (-2) as value on disk
 183    * BUG 14922: Kerberos authentication on standalone server in MIT realm
 184      broken.
 185    * BUG 14923: Segmentation fault when joining the domain.
 186
 187 o  Alexander Bokovoy <ab@samba.org>
 188    * BUG 14903: Support for ROLE_IPA_DC is incomplete.
 189
 190 o  Stefan Metzmacher <metze@samba.org>
 191    * BUG 14788: Memory leak if ioctl(FSCTL_VALIDATE_NEGOTIATE_INFO) fails before
 192      smbd_smb2_ioctl_send.
 193    * BUG 14899: winbindd doesn't start when "allow trusted domains" is off.
 194    * BUG 14901: The CVE-2020-25717 username map [script] advice has undesired
 195      side effects for the local nt token.
 196
 197 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 198    * BUG 14694: Ensure that the LDB request has not timed out during filter
 199      processing as the LDAP server MaxQueryDuration is otherwise not honoured.
 200    * BUG 14901: The CVE-2020-25717 username map [script] advice has undesired
 201      side effects for the local nt token.
 202
 203
 204 #######################################
 205 Reporting bugs & Development Discussion
 206 #######################################
 207
 208 Please discuss this release on the samba-technical mailing list or by
 209 joining the #samba-technical IRC channel on irc.freenode.net.
 210
 211 If you do report problems then please try to send high quality
 212 feedback. If you don't provide vital information to help us track down
 213 the problem then you will probably be ignored.  All bug reports should
 214 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 215 database (https://bugzilla.samba.org/).
 216
 217
 218 ======================================================================
 219 == Our Code, Our Bugs, Our Responsibility.
 220 == The Samba Team
 221 ======================================================================
 222
 223
 224 ----------------------------------------------------------------------
 225                    ===============================
 226                    Release Notes for Samba 4.14.10
 227                            November 9, 2021
 228                    ===============================
 229
 230
 231 This is a security release in order to address the following defects:
 232
 233 o CVE-2016-2124:  SMB1 client connections can be downgraded to plaintext
 234                   authentication.
 235                   https://www.samba.org/samba/security/CVE-2016-2124.html
 236
 237 o CVE-2020-25717: A user on the domain can become root on domain members.
 238                   https://www.samba.org/samba/security/CVE-2020-25717.html
 239                   (PLEASE READ! There are important behaviour changes described)
 240
 241 o CVE-2020-25718: Samba AD DC did not correctly sandbox Kerberos tickets issued
 242                   by an RODC.
 243                   https://www.samba.org/samba/security/CVE-2020-25718.html
 244
 245 o CVE-2020-25719: Samba AD DC did not always rely on the SID and PAC in Kerberos
 246                   tickets.
 247                   https://www.samba.org/samba/security/CVE-2020-25719.html
 248
 249 o CVE-2020-25721: Kerberos acceptors need easy access to stable AD identifiers
 250                   (eg objectSid).
 251                   https://www.samba.org/samba/security/CVE-2020-25721.html
 252
 253 o CVE-2020-25722: Samba AD DC did not do suffienct access and conformance
 254                   checking of data stored.
 255                   https://www.samba.org/samba/security/CVE-2020-25722.html
 256
 257 o CVE-2021-3738:  Use after free in Samba AD DC RPC server.
 258                   https://www.samba.org/samba/security/CVE-2021-3738.html
 259
 260 o CVE-2021-23192: Subsequent DCE/RPC fragment injection vulnerability.
 261                   https://www.samba.org/samba/security/CVE-2021-23192.html
 262
 263
 264 Changes since 4.14.9
 265 --------------------
 266
 267 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 268    * CVE-2020-25722
 269
 270 o  Andrew Bartlett <abartlet@samba.org>
 271    * CVE-2020-25718
 272    * CVE-2020-25719
 273    * CVE-2020-25721
 274    * CVE-2020-25722
 275
 276 o  Ralph Boehme <slow@samba.org>
 277    * CVE-2020-25717
 278
 279 o  Alexander Bokovoy <ab@samba.org>
 280    * CVE-2020-25717
 281
 282 o  Samuel Cabrero <scabrero@samba.org>
 283    * CVE-2020-25717
 284
 285 o  Nadezhda Ivanova <nivanova@symas.com>
 286    * CVE-2020-25722
 287
 288 o  Stefan Metzmacher <metze@samba.org>
 289    * CVE-2016-2124
 290    * CVE-2020-25717
 291    * CVE-2020-25719
 292    * CVE-2020-25722
 293    * CVE-2021-23192
 294    * CVE-2021-3738
 295    * ldb: version 2.3.2
 296
 297 o  Andreas Schneider <asn@samba.org>
 298    * CVE-2020-25719
 299
 300 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 301    * CVE-2020-17049
 302    * CVE-2020-25718
 303    * CVE-2020-25719
 304    * CVE-2020-25721
 305    * CVE-2020-25722
 306    * MS CVE-2020-17049
 307
 308
 309 #######################################
 310 Reporting bugs & Development Discussion
 311 #######################################
 312
 313 Please discuss this release on the samba-technical mailing list or by
 314 joining the #samba-technical IRC channel on irc.libera.chat or the
 315 #samba-technical:matrix.org matrix channel.
 316
 317 If you do report problems then please try to send high quality
 318 feedback. If you don't provide vital information to help us track down
 319 the problem then you will probably be ignored.  All bug reports should
 320 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 321 database (https://bugzilla.samba.org/).
 322
 323
 324 ======================================================================
 325 == Our Code, Our Bugs, Our Responsibility.
 326 == The Samba Team
 327 ======================================================================
 328
 329
 330 ----------------------------------------------------------------------
 331
 332
 333                    ==============================
 334                    Release Notes for Samba 4.14.9
 335                           October 27, 2021
 336                    ==============================
 337
 338
 339 This is the latest stable release of the Samba 4.14 release series.
 340
 341
 342 Changes since 4.14.8
 343 --------------------
 344
 345 o  Jeremy Allison <jra@samba.org>
 346    * BUG 14682: vfs_shadow_copy2: core dump in make_relative_path.
 347
 348 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 349    * BUG 14868: rodc_rwdc test flaps.
 350    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 351
 352 o  Andrew Bartlett <abartlet@samba.org>
 353    * BUG 14836: Python ldb.msg_diff() memory handling failure.
 354    * BUG 14642: Provide a fix for MS CVE-2020-17049 in Samba [SECURITY] 'Bronze
 355      bit' S4U2Proxy Constrained Delegation bypass in Samba with embedded
 356      Heimdal.
 357    * BUG 14845: "in" operator on ldb.Message is case sensitive.
 358    * BUG 14848: Release LDB 2.3.1 for Samba 4.14.9.
 359    * BUG 14870: Prepare to operate with MIT krb5 >= 1.20.
 360    * BUG 14871: Fix Samba support for UF_NO_AUTH_DATA_REQUIRED.
 361    * BUG 14874: Allow special chars like "@" in samAccountName when generating
 362      the salt.
 363    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 364
 365 o  Ralph Boehme <slow@samba.org>
 366    * BUG 14826: Correctly ignore comments in CTDB public addresses file.
 367
 368 o  Isaac Boukris <iboukris@gmail.com>
 369    * BUG 14642: Provide a fix for MS CVE-2020-17049 in Samba [SECURITY] 'Bronze
 370      bit' S4U2Proxy Constrained Delegation bypass in Samba with embedded
 371      Heimdal.
 372    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 373
 374 o  Viktor Dukhovni <viktor@twosigma.com>
 375    * BUG 12998: Fix transit path validation.
 376    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 377
 378 o  Luke Howard <lukeh@padl.com>
 379    * BUG 14642: Provide a fix for MS CVE-2020-17049 in Samba [SECURITY] 'Bronze
 380      bit' S4U2Proxy Constrained Delegation bypass in Samba with embedded
 381      Heimdal.
 382    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 383
 384 o  Stefan Metzmacher <metze@samba.org>
 385    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 386
 387 o  Andreas Schneider <asn@samba.org>
 388    * BUG 14870: Prepare to operate with MIT krb5 >= 1.20.
 389    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 390
 391 o  Martin Schwenke <martin@meltin.net>
 392    * BUG 14826: Correctly ignore comments in CTDB public addresses file.
 393
 394 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 395    * BUG 14642: Provide a fix for MS CVE-2020-17049 in Samba [SECURITY] 'Bronze
 396      bit' S4U2Proxy Constrained Delegation bypass in Samba with embedded
 397      Heimdal.
 398    * BUG 14845: "in" operator on ldb.Message is case sensitive.
 399    * BUG 14868: rodc_rwdc test flaps.
 400    * BUG 14871: Fix Samba support for UF_NO_AUTH_DATA_REQUIRED.
 401    * BUG 14874: Allow special chars like "@" in samAccountName when generating
 402      the salt.
 403    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 404
 405 o  Nicolas Williams <nico@twosigma.com>
 406    * BUG 14642: Provide a fix for MS CVE-2020-17049 in Samba [SECURITY] 'Bronze
 407      bit' S4U2Proxy Constrained Delegation bypass in Samba with embedded
 408      Heimdal.
 409    * BUG 14881: Backport bronze bit fixes, tests, and selftest improvements.
 410
 411
 412 #######################################
 413 Reporting bugs & Development Discussion
 414 #######################################
 415
 416 Please discuss this release on the samba-technical mailing list or by
 417 joining the #samba-technical IRC channel on irc.freenode.net.
 418
 419 If you do report problems then please try to send high quality
 420 feedback. If you don't provide vital information to help us track down
 421 the problem then you will probably be ignored.  All bug reports should
 422 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 423 database (https://bugzilla.samba.org/).
 424
 425
 426 ======================================================================
 427 == Our Code, Our Bugs, Our Responsibility.
 428 == The Samba Team
 429 ======================================================================
 430
 431
 432 ----------------------------------------------------------------------
 433
 434                    ==============================
 435                    Release Notes for Samba 4.14.8
 436                           October 05, 2021
 437                    ==============================
 438
 439
 440 This is the latest stable release of the Samba 4.14 release series.
 441
 442
 443 Changes since 4.14.7
 444 --------------------
 445
 446 o  Jeremy Allison <jra@samba.org>
 447    * BUG 14742: Python ldb.msg_diff() memory handling failure.
 448    * BUG 14805: OpenDir() loses the correct errno return.
 449    * BUG 14809: Shares with variable substitutions cause core dump upon
 450      connection from MacOS Big Sur 11.5.2.
 451    * BUG 14816: Fix pathref open of a filesystem fifo in the DISABLE_OPATH
 452      build.
 453
 454 o  Andrew Bartlett <abartlet@samba.org>
 455    * BUG 14806: Address a signifcant performance regression in database access
 456      in the AD DC since Samba 4.12.
 457    * BUG 14807: Fix performance regression in lsa_LookupSids3/LookupNames4 since
 458      Samba 4.9 by using an explicit database handle cache.
 459    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 460      server name in a TGS-REQ.
 461    * BUG 14818: Address flapping samba_tool_drs_showrepl test.
 462    * BUG 14819: Address flapping dsdb_schema_attributes test.
 463    * BUG 14841: Samba CI runs can now continue past the first error if
 464      AUTOBUILD_FAIL_IMMEDIATELY=0 is set.
 465    * BUG 14854: samldb_krbtgtnumber_available() looks for incorrect string.
 466
 467 o  Ralph Boehme <slow@samba.org>
 468    * BUG 14771: Some VFS operations on pathref (O_PATH) handles fail on GPFS.
 469    * BUG 14783: smbd "deadtime" parameter doesn't work anymore.
 470    * BUG 14787: net conf list crashes when run as normal user.
 471    * BUG 14790: vfs_btrfs compression support broken.
 472    * BUG 14804: winbindd can crash because idmap child state is not fully
 473      initialized.
 474
 475 o  Luke Howard <lukeh@padl.com>
 476    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 477      server name in a TGS-REQ.
 478
 479 o  Volker Lendecke <vl@samba.org>
 480    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 481      server name in a TGS-REQ.
 482
 483 o  Gary Lockyer <gary@catalyst.net.nz>
 484    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 485      server name in a TGS-REQ.
 486
 487 o  Stefan Metzmacher <metze@samba.org>
 488    * BUG 14771: Some VFS operations on pathref (O_PATH) handles fail on GPFS.
 489    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 490      server name in a TGS-REQ.
 491
 492 o  Andreas Schneider <asn@samba.org>
 493    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 494      server name in a TGS-REQ.
 495
 496 o  Martin Schwenke <martin@meltin.net>
 497    * BUG 14784: Fix CTDB flag/status update race conditions.
 498
 499 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 500    * BUG 14817: An unuthenticated user can crash the AD DC KDC by omitting the
 501      server name in a TGS-REQ.
 502    * BUG 14836: Python ldb.msg_diff() memory handling failure.
 503
 504
 505 #######################################
 506 Reporting bugs & Development Discussion
 507 #######################################
 508
 509 Please discuss this release on the samba-technical mailing list or by
 510 joining the #samba-technical:matrix.org matrix room, or
 511 #samba-technical IRC channel on irc.libera.chat
 512
 513 If you do report problems then please try to send high quality
 514 feedback. If you don't provide vital information to help us track down
 515 the problem then you will probably be ignored.  All bug reports should
 516 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 517 database (https://bugzilla.samba.org/).
 518
 519
 520 ======================================================================
 521 == Our Code, Our Bugs, Our Responsibility.
 522 == The Samba Team
 523 ======================================================================
 524
 525
 526 ----------------------------------------------------------------------
 527                    ==============================
 528                    Release Notes for Samba 4.14.7
 529                           August 24, 2021
 530                    ==============================
 531
 532
 533 This is the latest stable release of the Samba 4.14 release series.
 534
 535
 536 Changes since 4.14.6
 537 --------------------
 538
 539 o  Jeremy Allison <jra@samba.org>
 540    * BUG 14769: smbd panic on force-close share during offload write.
 541
 542 o  Ralph Boehme <slow@samba.org>
 543    * BUG 12033: smbd should support copy_file_range() for FSCTL_SRV_COPYCHUNK.
 544    * BUG 14731: Fix returned attributes on fake quota file handle and avoid
 545      hitting the VFS.
 546    * BUG 14756: vfs_shadow_copy2 fix inodes not correctly updating inode
 547      numbers.
 548
 549 o  David Gajewski <dgajews@math.utoledo.edu>
 550    * BUG 14774: Fix build on Solaris.
 551
 552 o  Björn Jacke <bj@sernet.de>
 553    * BUG 14654: Make dos attributes available for unreadable files.
 554
 555 o  Stefan Metzmacher <metze@samba.org>
 556    * BUG 14607: Work around special SMB2 READ response behavior of NetApp Ontap
 557      7.3.7.
 558    * BUG 14793: Start the SMB encryption as soon as possible.
 559
 560
 561 #######################################
 562 Reporting bugs & Development Discussion
 563 #######################################
 564
 565 Please discuss this release on the samba-technical mailing list or by
 566 joining the #samba-technical IRC channel on irc.freenode.net.
 567
 568 If you do report problems then please try to send high quality
 569 feedback. If you don't provide vital information to help us track down
 570 the problem then you will probably be ignored.  All bug reports should
 571 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 572 database (https://bugzilla.samba.org/).
 573
 574
 575 ======================================================================
 576 == Our Code, Our Bugs, Our Responsibility.
 577 == The Samba Team
 578 ======================================================================
 579
 580
 581 ----------------------------------------------------------------------
 582
 583
 584                    ==============================
 585                    Release Notes for Samba 4.14.6
 586                             July 13, 2021
 587                    ==============================
 588
 589
 590 This is the latest stable release of the Samba 4.14 release series.
 591
 592
 593 Changes since 4.14.5
 594 --------------------
 595
 596 o  Jeremy Allison <jra@samba.org>
 597    * BUG 14722: s3: lib: Fix talloc heirarcy error in parent_smb_fname().
 598    * BUG 14732: smbd: Fix pathref unlinking in create_file_unixpath().
 599    * BUG 14734: s3: VFS: default: Add proc_fd's fallback for vfswrap_fchown().
 600    * BUG 14736: s3: smbd: Remove erroneous TALLOC_FREE(smb_fname_parent) in
 601      change_file_owner_to_parent() error path.
 602
 603 o  Ralph Boehme <slow@samba.org>
 604    * BUG 14730: NT_STATUS_FILE_IS_A_DIRECTORY error messages when using
 605      glusterfs VFS module.
 606    * BUG 14734: s3/modules: fchmod: Fallback to path based chmod if pathref.
 607    * BUG 14740: Spotlight RPC service doesn't work with vfs_glusterfs.
 608
 609 o  Stefan Metzmacher <metze@samba.org>
 610    * BUG 14750: gensec_krb5: Restore ipv6 support for kpasswd.
 611    * BUG 14752: smbXsrv_{open,session,tcon}: protect
 612      smbXsrv_{open,session,tcon}_global_traverse_fn against invalid records.
 613
 614 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 615    * BUG 14027: samba-tool domain backup offline doesn't work against bind DLZ
 616      backend.
 617    * BUG 14669: netcmd: Use next_free_rid() function to calculate a SID for
 618      restoring a backup.
 619
 620
 621 #######################################
 622 Reporting bugs & Development Discussion
 623 #######################################
 624
 625 Please discuss this release on the samba-technical mailing list or by
 626 joining the #samba-technical IRC channel on irc.freenode.net.
 627
 628 If you do report problems then please try to send high quality
 629 feedback. If you don't provide vital information to help us track down
 630 the problem then you will probably be ignored.  All bug reports should
 631 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 632 database (https://bugzilla.samba.org/).
 633
 634
 635 ======================================================================
 636 == Our Code, Our Bugs, Our Responsibility.
 637 == The Samba Team
 638 ======================================================================
 639
 640
 641 ----------------------------------------------------------------------
 642                    ==============================
 643                    Release Notes for Samba 4.14.5
 644                             June 01, 2021
 645                    ==============================
 646
 647
 648 This is the latest stable release of the Samba 4.14 release series.
 649
 650
 651 Changes since 4.14.4
 652 --------------------
 653
 654 o  Jeremy Allison <jra@samba.org>
 655    * BUG 14696: s3: smbd: SMB1 SMBsplwr doesn't send a reply packet on success.
 656    * BUG 14708: s3: smbd: Ensure POSIX default ACL is mapped into returned
 657      Windows ACL for directory handles.
 658    * BUG 14721: s3: smbd: Fix uninitialized memory read in
 659      process_symlink_open() when used with vfs_shadow_copy2().
 660
 661 o  Andrew Bartlett <abartlet@samba.org>
 662    * BUG 14689: docs: Expand the "log level" docs on audit logging.
 663
 664 o  Ralph Boehme <slow@samba.org>
 665    * BUG 14714: smbd: Correctly initialize close timestamp fields.
 666
 667 o  Günther Deschner <gd@samba.org>
 668    * BUG 14699: Fix gcc11 compiler issues.
 669
 670 o  Pavel Filipenský <pfilipen@redhat.com>
 671    * BUG 14718: docs-xml: Update smbcacls manpage.
 672    * BUG 14719: docs: Update list of available commands in rpcclient.
 673
 674 o  Volker Lendecke <vl@samba.org>
 675    * BUG 14475: ctdb: Fix a crash in run_proc_signal_handler().
 676
 677 o  Andreas Schneider <asn@samba.org>
 678    * BUG 14695: s3:winbind: For 'security = ADS' require realm/workgroup to be
 679      set.
 680    * BUG 14699: lib:replace: Do not build strndup test with gcc 11 or newer.
 681
 682
 683 #######################################
 684 Reporting bugs & Development Discussion
 685 #######################################
 686
 687 Please discuss this release on the samba-technical mailing list or by
 688 joining the #samba-technical IRC channel on irc.freenode.net.
 689
 690 If you do report problems then please try to send high quality
 691 feedback. If you don't provide vital information to help us track down
 692 the problem then you will probably be ignored.  All bug reports should
 693 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 694 database (https://bugzilla.samba.org/).
 695
 696
 697 ======================================================================
 698 == Our Code, Our Bugs, Our Responsibility.
 699 == The Samba Team
 700 ======================================================================
 701
 702
 703 ----------------------------------------------------------------------
 704
 705
 706                    ==============================
 707                    Release Notes for Samba 4.14.4
 708                            April 29, 2021
 709                    ==============================
 710
 711
 712 This is a security release in order to address the following defect:
 713
 714 o CVE-2021-20254: Negative idmap cache entries can cause incorrect group entries
 715   in the Samba file server process token.
 716
 717
 718 =======
 719 Details
 720 =======
 721
 722 o  CVE-2021-20254:
 723    The Samba smbd file server must map Windows group identities (SIDs) into unix
 724    group ids (gids). The code that performs this had a flaw that could allow it
 725    to read data beyond the end of the array in the case where a negative cache
 726    entry had been added to the mapping cache. This could cause the calling code
 727    to return those values into the process token that stores the group
 728    membership for a user.
 729
 730    Most commonly this flaw caused the calling code to crash, but an alert user
 731    (Peter Eriksson, IT Department, Linköping University) found this flaw by
 732    noticing an unprivileged user was able to delete a file within a network
 733    share that they should have been disallowed access to.
 734
 735    Analysis of the code paths has not allowed us to discover a way for a
 736    remote user to be able to trigger this flaw reproducibly or on demand,
 737    but this CVE has been issued out of an abundance of caution.
 738
 739
 740 Changes since 4.14.3
 741 --------------------
 742
 743 o  Volker Lendecke <vl@samba.org>
 744    * BUG 14571: CVE-2021-20254: Fix buffer overrun in sids_to_unixids().
 745
 746
 747 #######################################
 748 Reporting bugs & Development Discussion
 749 #######################################
 750
 751 Please discuss this release on the samba-technical mailing list or by
 752 joining the #samba-technical IRC channel on irc.freenode.net.
 753
 754 If you do report problems then please try to send high quality
 755 feedback. If you don't provide vital information to help us track down
 756 the problem then you will probably be ignored.  All bug reports should
 757 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 758 database (https://bugzilla.samba.org/).
 759
 760
 761 ======================================================================
 762 == Our Code, Our Bugs, Our Responsibility.
 763 == The Samba Team
 764 ======================================================================
 765
 766
 767 ----------------------------------------------------------------------
 768
 769
 770                    ==============================
 771                    Release Notes for Samba 4.14.3
 772                            April 20, 2021
 773                    ==============================
 774
 775
 776 This is the latest stable release of the Samba 4.14 release series.
 777
 778
 779 Changes since 4.14.2
 780 --------------------
 781
 782 o  Trever L. Adams <trever.adams@gmail.com>
 783    * BUG 14671: s3:modules:vfs_virusfilter: Recent New_VFS changes break
 784      vfs_virusfilter_openat.
 785
 786 o  Andrew Bartlett <abartlet@samba.org>
 787    * BUG 14586: build: Notice if flex is missing at configure time.
 788
 789 o  Ralph Boehme <slow@samba.org>
 790    * BUG 14672: Fix smbd panic when two clients open same file.
 791    * BUG 14675: Fix memory leak in the RPC server.
 792    * BUG 14679: s3: smbd: fix deferred renames.
 793
 794 o  Samuel Cabrero <scabrero@samba.org>
 795    * BUG 14675: s3-iremotewinspool: Set the per-request memory context.
 796
 797 o  Volker Lendecke <vl@samba.org>
 798    * BUG 14675: Fix memory leak in the RPC server.
 799
 800 o  Stefan Metzmacher <metze@samba.org>
 801    * BUG 11899: third_party: Update socket_wrapper to version 1.3.2.
 802    * BUG 14640: third_party: Update socket_wrapper to version 1.3.3.
 803
 804 o  David Mulder <dmulder@suse.com>
 805    * BUG 14665: samba-gpupdate: Test that sysvol paths download in
 806      case-insensitive way.
 807
 808 o  Sachin Prabhu <sprabhu@redhat.com>
 809    * BUG 14662: smbd: Ensure errno is preserved across fsp destructor.
 810
 811 o  Christof Schmitt <cs@samba.org>
 812    * BUG 14663: idmap_rfc2307 and idmap_nss return wrong mapping for uid/gid
 813      conflict.
 814
 815 o  Martin Schwenke <martin@meltin.net>
 816    * BUG 14288: build: Only add -Wl,--as-needed when supported.
 817
 818
 819 #######################################
 820 Reporting bugs & Development Discussion
 821 #######################################
 822
 823 Please discuss this release on the samba-technical mailing list or by
 824 joining the #samba-technical IRC channel on irc.freenode.net.
 825
 826 If you do report problems then please try to send high quality
 827 feedback. If you don't provide vital information to help us track down
 828 the problem then you will probably be ignored.  All bug reports should
 829 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 830 database (https://bugzilla.samba.org/).
 831
 832
 833 ======================================================================
 834 == Our Code, Our Bugs, Our Responsibility.
 835 == The Samba Team
 836 ======================================================================
 837
 838
 839 ----------------------------------------------------------------------
 840
 841
 842                    ==============================
 843                    Release Notes for Samba 4.14.2
 844                            March 24, 2021
 845                    ==============================
 846
 847
 848 This is a follow-up release to depend on the correct ldb version. This is only
 849 needed when building against a system ldb library.
 850
 851 This is a security release in order to address the following defects:
 852
 853 o CVE-2020-27840: Heap corruption via crafted DN strings.
 854 o CVE-2021-20277: Out of bounds read in AD DC LDAP server.
 855
 856
 857 =======
 858 Details
 859 =======
 860
 861 o  CVE-2020-27840:
 862    An anonymous attacker can crash the Samba AD DC LDAP server by sending easily
 863    crafted DNs as part of a bind request. More serious heap corruption is likely
 864    also possible.
 865
 866 o  CVE-2021-20277:
 867    User-controlled LDAP filter strings against the AD DC LDAP server may crash
 868    the LDAP server.
 869
 870 For more details, please refer to the security advisories.
 871
 872
 873 Changes since 4.14.1
 874 --------------------
 875
 876 o  Release with dependency on ldb version 2.3.0.
 877
 878
 879 #######################################
 880 Reporting bugs & Development Discussion
 881 #######################################
 882
 883 Please discuss this release on the samba-technical mailing list or by
 884 joining the #samba-technical IRC channel on irc.freenode.net.
 885
 886 If you do report problems then please try to send high quality
 887 feedback. If you don't provide vital information to help us track down
 888 the problem then you will probably be ignored.  All bug reports should
 889 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 890 database (https://bugzilla.samba.org/).
 891
 892
 893 ======================================================================
 894 == Our Code, Our Bugs, Our Responsibility.
 895 == The Samba Team
 896 ======================================================================
 897
 898
 899 ----------------------------------------------------------------------
 900
 901
 902                    ==============================
 903                    Release Notes for Samba 4.14.1
 904                            March 24, 2021
 905                    ==============================
 906
 907
 908 This is a security release in order to address the following defects:
 909
 910 o CVE-2020-27840: Heap corruption via crafted DN strings.
 911 o CVE-2021-20277: Out of bounds read in AD DC LDAP server.
 912
 913
 914 =======
 915 Details
 916 =======
 917
 918 o  CVE-2020-27840:
 919    An anonymous attacker can crash the Samba AD DC LDAP server by sending easily
 920    crafted DNs as part of a bind request. More serious heap corruption is likely
 921    also possible.
 922
 923 o  CVE-2021-20277:
 924    User-controlled LDAP filter strings against the AD DC LDAP server may crash
 925    the LDAP server.
 926
 927 For more details, please refer to the security advisories.
 928
 929
 930 Changes since 4.14.0
 931 --------------------
 932
 933 o  Andrew Bartlett <abartlet@samba.org>
 934    * BUG 14655: CVE-2021-20277: Fix out of bounds read in ldb_handler_fold.
 935
 936 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 937    * BUG 14595: CVE-2020-27840: Fix unauthenticated remote heap corruption via
 938      bad DNs.
 939    * BUG 14655: CVE-2021-20277: Fix out of bounds read in ldb_handler_fold.
 940
 941
 942 #######################################
 943 Reporting bugs & Development Discussion
 944 #######################################
 945
 946 Please discuss this release on the samba-technical mailing list or by
 947 joining the #samba-technical IRC channel on irc.freenode.net.
 948
 949 If you do report problems then please try to send high quality
 950 feedback. If you don't provide vital information to help us track down
 951 the problem then you will probably be ignored.  All bug reports should
 952 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 953 database (https://bugzilla.samba.org/).
 954
 955
 956 ======================================================================
 957 == Our Code, Our Bugs, Our Responsibility.
 958 == The Samba Team
 959 ======================================================================
 960
 961
 962 ----------------------------------------------------------------------
 963
 964
 965                    ==============================
 966                    Release Notes for Samba 4.14.0
 967                           March 09, 2021
 968                    ==============================
 969
 970
 971 This is the first stable release of the Samba 4.14 release series.
 972 Please read the release notes carefully before upgrading.
 973
 974
 975 New GPG key
 976 ===========
 977
 978 The GPG release key for Samba releases changed from:
 979
 980 pub   dsa1024/6F33915B6568B7EA 2007-02-04 [SC] [expires: 2021-02-05]
 981       Key fingerprint = 52FB C0B8 6D95 4B08 4332  4CDC 6F33 915B 6568 B7EA
 982 uid                 [  full  ] Samba Distribution Verification Key <samba-bugs@samba.org>
 983 sub   elg2048/9C6ED163DA6DFB44 2007-02-04 [E] [expires: 2021-02-05]
 984
 985 to the following new key:
 986
 987 pub   rsa4096/AA99442FB680B620 2020-12-21 [SC] [expires: 2022-12-21]
 988       Key fingerprint = 81F5 E283 2BD2 545A 1897  B713 AA99 442F B680 B620
 989 uid                 [ultimate] Samba Distribution Verification Key <samba-bugs@samba.org>
 990 sub   rsa4096/97EF9386FBFD4002 2020-12-21 [E] [expires: 2022-12-21]
 991
 992 Starting from Jan 21th 2021, all Samba releases will be signed with the new key.
 993
 994 See also GPG_AA99442FB680B620_replaces_6F33915B6568B7EA.txt
 995
 996
 997 NEW FEATURES/CHANGES
 998 ====================
 999
1000 Here is a copy of a clarification note added to the Samba code
1001 in the file: VFS-License-clarification.txt.
1002 --------------------------------------------------------------
1003
1004 A clarification of our GNU GPL License enforcement boundary within the Samba
1005 Virtual File System (VFS) layer.
1006
1007 Samba is licensed under the GNU GPL. All code committed to the Samba
1008 project or that creates a "modified version" or software "based on" Samba must
1009 be either licensed under the GNU GPL or a compatible license.
1010
1011 Samba has several plug-in interfaces where external code may be called
1012 from Samba GNU GPL licensed code. The most important of these is the
1013 Samba VFS layer.
1014
1015 Samba VFS modules are intimately connected by header files and API
1016 definitions to the part of the Samba code that provides file services,
1017 and as such, code that implements a plug-in Samba VFS module must be
1018 licensed under the GNU GPL or a compatible license.
1019
1020 However, Samba VFS modules may themselves call third-party external
1021 libraries that are not part of the Samba project and are externally
1022 developed and maintained.
1023
1024 As long as these third-party external libraries do not use any of the
1025 Samba internal structure, APIs or interface definitions created by the
1026 Samba project (to the extent that they would be considered subject to the GNU
1027 GPL), then the Samba Team will not consider such third-party external
1028 libraries called from Samba VFS modules as "based on" and/or creating a
1029 "modified version" of the Samba code for the purposes of GNU GPL.
1030 Accordingly, we do not require such libraries be licensed under the GNU GPL
1031 or a GNU GPL compatible license.
1032
1033 VFS
1034 ---
1035
1036 The effort to modernize Samba's VFS interface has reached a major milestone with
1037 the next release Samba 4.14.
1038
1039 For details please refer to the documentation at source3/modules/The_New_VFS.txt or
1040 visit the <https://wiki.samba.org/index.php/The_New_VFS>.
1041
1042 Printing
1043 --------
1044
1045 Publishing printers in AD is more reliable and more printer features are
1046 added to the published information in AD. Samba now also supports Windows
1047 drivers for the ARM64 architecture.
1048
1049 Client Group Policy
1050 -------------------
1051 This release extends Samba to support Group Policy functionality for Winbind
1052 clients. Active Directory Administrators can set policies that apply Sudoers
1053 configuration, and cron jobs to run hourly, daily, weekly or monthly.
1054
1055 To enable the application of Group Policies on a client, set the global
1056 smb.conf option 'apply group policies' to 'yes'. Policies are applied on an
1057 interval of every 90 minutes, plus a random offset between 0 and 30 minutes.
1058
1059 Policies applied by Samba are 'non-tattooing', meaning that changes can be
1060 reverted by executing the `samba-gpupdate --unapply` command. Policies can be
1061 re-applied using the `samba-gpupdate --force` command.
1062 To view what policies have been or will be applied to a system, use the
1063 `samba-gpupdate --rsop` command.
1064
1065 Administration of Samba policy requires that a Samba ADMX template be uploaded
1066 to the SYSVOL share. The samba-tool command `samba-tool gpo admxload` is
1067 provided as a convenient method for adding this policy. Once uploaded, policies
1068 can be modified in the Group Policy Management Editor under Computer
1069 Configuration/Policies/Administrative Templates. Alternatively, Samba policy
1070 may be managed using the `samba-tool gpo manage` command. This tool does not
1071 require the admx templates to be installed.
1072
1073 Python 3.6 or later required
1074 ----------------------------
1075
1076 Samba's minimum runtime requirement for python was raised to Python
1077 3.6 with samba 4.13.  Samba 4.14 raises this minimum version to Python
1078 3.6 also to build Samba. It is no longer possible to build Samba
1079 (even just the file server) with Python versions 2.6 and 2.7.
1080
1081 As Python 2.7 has been End Of Life upstream since April 2020, Samba
1082 is dropping ALL Python 2.x support in this release.
1083
1084 Miscellaneous samba-tool changes
1085 --------------------------------
1086
1087 The 'samba-tool' subcommands to manage AD objects (e.g. users, computers and
1088 groups) now consistently use the "add" command when adding a new object to
1089 the AD. The previous deprecation warnings when using the 'add' commands
1090 have been removed. For compatibility reasons, both the 'add' and 'create'
1091 commands can be used now.
1092
1093 Users, groups and contacts can now be renamed with the respective rename
1094 commands.
1095
1096 Locked users can be unlocked with the new 'samba-tool user unlock' command.
1097
1098 The 'samba-tool user list' and 'samba-tool group listmembers' commands
1099 provide additional options to hide expired and disabled user accounts
1100 (--hide-expired and --hide-disabled).
1101
1102
1103 CTDB CHANGES
1104 ============
1105
1106 * The NAT gateway and LVS features now uses the term "leader" to refer
1107   to the main node in a group through which traffic is routed and
1108   "follower" for other members of a group.  The command for
1109   determining the leader has changed to "ctdb natgw leader" (from
1110   "ctdb natgw master").  The configuration keyword for indicating that
1111   a node can not be the leader of a group has changed to
1112   "follower-only" (from "slave-only").  Identical changes were made
1113   for LVS.
1114
1115 * Remove "ctdb isnotrecmaster" command.  It isn't used by CTDB's
1116   scripts and can be checked by users with "ctdb pnn" and "ctdb
1117   recmaster".
1118
1119
1120 smb.conf changes
1121 ================
1122
1123   Parameter Name                     Description                Default
1124   --------------                     -----------                -------
1125   smb encrypt                        Removed
1126   async dns timeout                  New                        10
1127   client smb encrypt                 New                        default
1128   honor change notify privilege      New                        No
1129   smbd force process locks           New                        No
1130   server smb encrypt                 New                        default
1131
1132
1133 CHANGES SINCE 4.14.0rc4
1134 =======================
1135
1136 o  Trever L. Adams <trever.adams@gmail.com>
1137    * BUG 14634: s3:modules:vfs_virusfilter: Recent talloc changes cause infinite
1138      start-up failure.
1139
1140 o  Peter Eriksson <pen@lysator.liu.se>
1141    * BUG 14648: s3: VFS: nfs4_acls. Add missing TALLOC_FREE(frame) in error
1142      path.
1143
1144 o  Volker Lendecke <vl@samba.org>
1145    * BUG 14636: g_lock: Fix uninitalized variable reads.
1146
1147
1148 CHANGES SINCE 4.14.0rc3
1149 =======================
1150
1151 o  Jeremy Allison <jra@samba.org>
1152    * BUG 14604: smbd: In conn_force_tdis_done() when forcing a connection closed
1153      force a full reload of services.
1154
1155 o  Andrew Bartlett <abartlet@samba.org>
1156    * BUG 14593: dbcheck: Check Deleted Objects and reduce noise in reports about
1157      expired tombstones.
1158
1159 o  Ralph Boehme <slow@samba.org>
1160    * BUG 14619: vfs: Restore platform specific POSIX sys_acl_set_file()
1161      functions.
1162    * BUG 14620: Fix the build on AIX.
1163    * BUG 14629: smbd: Don't overwrite _mode if neither a msdfs symlink nor
1164      get_dosmode is requested.
1165    * BUG 14635: Fix printer driver upload.
1166
1167
1168 CHANGES SINCE 4.14.0rc2
1169 =======================
1170
1171 o  Björn Jacke <bj@sernet.de>
1172    * BUG 14624: classicupgrade: Treat old never expires value right.
1173
1174 o  Stefan Metzmacher <metze@samba.org>
1175    * BUG 13898: s3:pysmbd: fix fd leak in py_smbd_create_file().
1176
1177 o  Andreas Schneider <asn@samba.org>
1178    * BUG 14625: Fix smbd share mode double free crash.
1179
1180 o  Paul Wise <pabs3@bonedaddy.net>
1181    * BUG 12505: HEIMDAL: krb5_storage_free(NULL) should work.
1182
1183
1184 CHANGES SINCE 4.14.0rc1
1185 =======================
1186
1187 o  Jeremy Allison <jra@samba.org>
1188    * BUG 13992: Fix SAMBA RPC share error.
1189
1190 o  Ralph Boehme <slow@samba.org>
1191    * BUG 14602: "winbind:ignore domains" doesn't prevent user login from trusted
1192      domain.
1193    * BUG 14617: smbd tries to delete files with wrong permissions (uses guest
1194      instead of user from force user =).
1195
1196 o  Stefan Metzmacher <metze@samba.org>
1197    * BUG 14539: s3:idmap_hash: Reliably return ID_TYPE_BOTH.
1198
1199 o  Andreas Schneider <asn@samba.org>
1200    * BUG 14627: s3:smbd: Fix invalid memory access in
1201      posix_sys_acl_blob_get_fd().
1202
1203
1204 KNOWN ISSUES
1205 ============
1206
1207 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.14#Release_blocking_bugs
1208
1209
1210 #######################################
1211 Reporting bugs & Development Discussion
1212 #######################################
1213
1214 Please discuss this release on the samba-technical mailing list or by
1215 joining the #samba-technical IRC channel on irc.freenode.net.
1216
1217 If you do report problems then please try to send high quality
1218 feedback. If you don't provide vital information to help us track down
1219 the problem then you will probably be ignored.  All bug reports should
1220 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1221 database (https://bugzilla.samba.org/).
1222
1223
1224 ======================================================================
1225 == Our Code, Our Bugs, Our Responsibility.
1226 == The Samba Team
1227 ======================================================================
1228