WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.1.2
   3                          November 22, 2013
   4                    =============================
   5
   6
   7 This is is the latest stable release of Samba 4.1.
   8
   9
  10 Changes since 4.1.1:
  11 --------------------
  12
  13 o   Jeremy Allison <jra@samba.org>
  14     * BUG 10187: Missing talloc_free can leak stackframe in error path.
  15     * BUG 10196: RW Deny for a specific user is not overriding RW Allow for a
  16       group.
  17
  18
  19 o   Anand Avati <avati@redhat.com>
  20     * BUG 10224: vfs_glusterfs: Implement proper mashalling/unmarshalling of
  21       ACLs.
  22
  23
  24 o   Andrew Bartlett <abartlet@samba.org>
  25     * BUG 10052: dfs_server: Use dsdb_search_one to catch 0 results as well as
  26       NO_SUCH_OBJECT errors.
  27
  28
  29 o   Samuel Cabrero <scabrero@zentyal.com>
  30     * BUG 9091: s4-dns: dlz_bind9: Create dns-HOSTNAME account disabled.
  31
  32
  33 o   Günther Deschner <gd@samba.org>
  34     * BUG 10264: s3-winbindd: Fix cache_traverse_validate_fn failure for
  35       NDR cache entries.
  36
  37
  38 o   Christopher R. Hertel <crh@redhat.com>
  39     * BUG 10224: vfs_glusterfs: Fix excessive debug output from
  40       vfs_gluster_open().
  41
  42
  43 o   Björn Jacke <bj@sernet.de>
  44     * BUG 10247: xattr: Fix listing EAs on *BSD for non-root users.
  45
  46
  47 o   Volker Lendecke <vl@samba.org>
  48     * BUG 10190: Fix memset used with constant zero length parameter.
  49     * BUG 10195: nsswitch: Fix short writes in winbind_write_sock.
  50
  51
  52 o   Stefan Metzmacher <metze@samba.org>
  53     * BUG 10193: s4:dsdb/rootdse: report 'dnsHostName' instead of 'dNSHostName'.
  54     * BUG 10232: libcli/smb: Fix smb2cli_ioctl*() against Windows 2008.
  55
  56
  57 o   Susant Kumar Palai <spalai@redhat.com>
  58     * BUG 10224: VFS plugin was sending the actual size of the volume instead of
  59       the total number of block units because of which windows was getting the
  60       wrong volume capacity.
  61
  62
  63 o   Andreas Schneider <asn@samba.org>
  64     * BUG 10194: Make offline logon cache updating for cross child domain group
  65       membership.
  66     * BUG 10269: util: Remove 32bit macros breaking strict aliasing.
  67     * BUG 10253: Fix the build of vfs_glusterfs.
  68
  69
  70 #######################################
  71 Reporting bugs & Development Discussion
  72 #######################################
  73
  74 Please discuss this release on the samba-technical mailing list or by
  75 joining the #samba-technical IRC channel on irc.freenode.net.
  76
  77 If you do report problems then please try to send high quality
  78 feedback. If you don't provide vital information to help us track down
  79 the problem then you will probably be ignored.  All bug reports should
  80 be filed under the Samba 4.1 product in the project's Bugzilla
  81 database (https://bugzilla.samba.org/).
  82
  83
  84 ======================================================================
  85 == Our Code, Our Bugs, Our Responsibility.
  86 == The Samba Team
  87 ======================================================================
  88
  89
  90 Release notes for older releases follow:
  91 ----------------------------------------
  92
  93                    =============================
  94                    Release Notes for Samba 4.1.1
  95                          November 11, 2013
  96                    =============================
  97
  98
  99 This is a security release in order to address
 100 CVE-2013-4475 (ACLs are not checked on opening an alternate
 101 data stream on a file or directory) and
 102 CVE-2013-4476 (Private key in key.pem world readable).
 103
 104 o  CVE-2013-4475:
 105    Samba versions 3.2.0 and above (all versions of 3.2.x, 3.3.x,
 106    3.4.x, 3.5.x, 3.6.x, 4.0.x and 4.1.x) do not check the underlying
 107    file or directory ACL when opening an alternate data stream.
 108
 109    According to the SMB1 and SMB2+ protocols the ACL on an underlying
 110    file or directory should control what access is allowed to alternate
 111    data streams that are associated with the file or directory.
 112
 113    By default no version of Samba supports alternate data streams
 114    on files or directories.
 115
 116    Samba can be configured to support alternate data streams by loading
 117    either one of two virtual file system modues (VFS) vfs_streams_depot or
 118    vfs_streams_xattr supplied with Samba, so this bug only affects Samba
 119    servers configured this way.
 120
 121    To determine if your server is vulnerable, check for the strings
 122    "streams_depot" or "streams_xattr" inside your smb.conf configuration
 123    file.
 124
 125 o  CVE-2013-4476:
 126    In setups which provide ldap(s) and/or https services, the private
 127    key for SSL/TLS encryption might be world readable. This typically
 128    happens in active directory domain controller setups.
 129
 130
 131 Changes since 4.1.0:
 132 --------------------
 133
 134 o   Jeremy Allison <jra@samba.org>
 135     * BUGs 10234 + 10229: CVE-2013-4475: Fix access check verification on stream
 136       files.
 137
 138
 139 o   Björn Baumbach <bb@sernet.de>
 140     * BUG 10234: CVE-2013-4476: Private key in key.pem world readable.
 141
 142
 143 #######################################
 144 Reporting bugs & Development Discussion
 145 #######################################
 146
 147 Please discuss this release on the samba-technical mailing list or by
 148 joining the #samba-technical IRC channel on irc.freenode.net.
 149
 150 If you do report problems then please try to send high quality
 151 feedback. If you don't provide vital information to help us track down
 152 the problem then you will probably be ignored.  All bug reports should
 153 be filed under the Samba 4.1 product in the project's Bugzilla
 154 database (https://bugzilla.samba.org/).
 155
 156
 157 ======================================================================
 158 == Our Code, Our Bugs, Our Responsibility.
 159 == The Samba Team
 160 ======================================================================
 161
 162
 163 ----------------------------------------------------------------------
 164
 165
 166                    =============================
 167                    Release Notes for Samba 4.1.0
 168                          October 11, 2013
 169                    =============================
 170
 171
 172 This is is the first stable release of Samba 4.1.
 173
 174 Samba 4.1 will be the next version of the Samba suite and includes
 175 all the technology found in both the Samba4 series and the stable 3.x
 176 series. The primary additional features over Samba 3.6 are
 177 support for the Active Directory logon protocols used by Windows 2000
 178 and above.
 179
 180 Major enhancements in Samba 4.1.0 include:
 181
 182 Client tools support SMB2/3
 183 ===========================
 184
 185 Samba 4.1.0 contains the first release of our client tools
 186 and client library that work over the new protocols SMB2 or SMB3.
 187 Note that SMB3 only works either to a Samba server version 4.0.0
 188 or above, or to a Windows Server running Windows 2012 or Windows 8.
 189
 190 The default protocol for smbclient and smbcacls is still
 191 SMB1 (the NT1 protocol dialect). An SMB2 or SMB3 connection
 192 can be selected in one of two ways. The easiest way to test
 193 the new protocol connection is to add the -mMAX_PROTOCOL
 194 command line switch to either smbclient or smbcacls.
 195
 196 For example, to connect using SMB3 with smbclient a user
 197 would type:
 198
 199 smbclient //server/share -Uuser%password -mSMB3
 200
 201 Another example of connecting using SMB2 using smbcacls
 202 would be:
 203
 204 smbcacls //server/share -Uuser%password -mSMB2 filename
 205
 206 Note that when connecting using SMB2 or SMB3 protocols
 207 the UNIX extensions are no longer available inside the
 208 smbclient command set. This is due to UNIX extensions
 209 not yet being defined for the SMB2 or SMB3 protocols.
 210
 211 The second way to select SMB2 or SMB3 connections is to
 212 set the "client max protocol" parameter in the [global]
 213 section of your smb.conf.
 214
 215 Setting this parameter will cause all client connections
 216 from Samba and its client tools to offer the requested
 217 max protocol to a server on every connection request.
 218
 219 For example, to cause all client tools (including winbindd,
 220 rpcclient, and the libsmbclient library) to attempt use SMB3
 221 by default add the line:
 222
 223 client max protocol = SMB3
 224
 225 to the [global] section of your smb.conf. This has not
 226 been as widely tested as the -mPROTOCOL options, but
 227 is intended to work correctly in the final release of
 228 4.1.0.
 229
 230 Encrypted transport
 231 ===================
 232
 233 Although Samba servers have supported encrypted transport
 234 connections using the UNIX extensions for many years,
 235 selecting SMB3 transport allows encrypted transport
 236 connections to Windows servers that support SMB3, as
 237 well as Samba servers.
 238
 239 In order to enable this, add the "-e" option to the
 240 smbclient command line.
 241
 242 For example, to connect to a Windows 2012 server over
 243 SMB3 and select an encrypted transport you would use
 244 the following command line:
 245
 246 smbclient //Win2012Server/share -Uuser%password -mSMB3 -e
 247
 248
 249 Directory database replication (AD DC mode)
 250 ===========================================
 251
 252 Directory replication has been reworked in order to improve the
 253 correctness and efficiency.
 254 As a net effect of it, replication with other domain controllers with
 255 a heavily modified schema is now possible (ie. Windows 2012 DCs or
 256 other Windows DC with exchange installed) and replication didn't fail
 257 anymore in such environments.
 258
 259
 260 Server-Side Copy Support
 261 ========================
 262
 263 Samba 4.1.0 adds support for server-side copy operations via the SMB2
 264 FSCTL_SRV_COPYCHUNK request. Clients making use of server-side copy
 265 support, such as Windows Server 2012, should experience considerable
 266 performance improvements for file copy operations, as file data need not
 267 traverse the network.
 268 This feature is enabled by default on the smbd file server.
 269
 270
 271 Btrfs Filesystem Integration
 272 ============================
 273
 274 The Btrfs VFS module provided with Samba 4.1.0 further improves the
 275 performance of server-side copy operations on shares backed by a Btrfs
 276 filesystem. It does so by allowing multiple files to share the same
 277 on-disk extents, avoiding the unnecessary duplication of source and
 278 destination file data during a server-side copy operation.
 279
 280 This feature can be explicitly enabled on smbd shares backed by a Btrfs
 281 filesystem with the smb.conf parameter:
 282 vfs objects = btrfs
 283
 284
 285 REMOVED COMPONENTS
 286 ==================
 287
 288 The Samba Web Administration Tool (SWAT) has been removed.
 289 Details why SWAT has been removed can be found on the samba-technical mailing
 290 list:
 291
 292 https://lists.samba.org/archive/samba-technical/2013-February/090572.html
 293
 294
 295 ######################################################################
 296 Changes
 297 #######
 298
 299 smb.conf changes
 300 ----------------
 301
 302    Parameter Name                       Description     Default
 303    --------------                       -----------     -------
 304
 305    acl allow execute always             New             False
 306    password level                       Removed
 307    set directory                        Removed
 308    use ntdb                             New             No
 309
 310
 311 RUNNING Samba 4.1 as an AD DC
 312 =============================
 313
 314 A short guide to setting up Samba as an AD DC can be found on the wiki:
 315
 316   https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO
 317
 318
 319 COMMIT HIGHLIGHTS
 320 =================
 321
 322 o   Jeremy Allison <jra@samba.org>
 323     * Add SMB2 and SMB3 support for client tools and client library.
 324     * Add support for SMB3 Encrypted transport.
 325
 326
 327 o   David Disseldorp <ddiss@samba.org>
 328     * Add vfs_btrfs module.
 329     * Add support for server-side copy operations via the
 330       SMB2 FSCTL_SRV_COPYCHUNK request.
 331
 332
 333 CHANGES SINCE 4.1.0rc4
 334 ======================
 335
 336 o   Stefan Metzmacher <metze@samba.org>
 337     * BUG 10178: Fix PAC parsing failure.
 338
 339
 340 o   Andreas Schneider <asn@samba.org>
 341     * BUG 10132: pam_winbindd: Support the KEYRING ccache type.
 342
 343
 344 CHANGES SINCE 4.1.0rc3
 345 ======================
 346
 347 o   Michael Adam <obnox@samba.org>
 348     * BUG 10134: Add "acl allow execute always" parameter.
 349
 350
 351 o   Jeremy Allison <jra@samba.org>
 352     * BUG 10139: Valid utf8 filenames cause "invalid conversion error"
 353       messages.
 354     * BUG 10145: Samba SMB2 client code reads the wrong short name length in a
 355       directory listing reply.
 356     * BUG 10149: cli_smb2_get_ea_list_path() failed to close file on exit.
 357     * BUG 10150: Not all OEM servers support the ALTNAME info level.
 358
 359
 360 o   Andrew Bartlett <abartlet@samba.org>
 361     * BUG 8077: dsdb: Convert the full string from UTF16 to UTF8, including
 362       embedded NULLs.
 363     * BUG 9461: python-samba-tool fsmo: Do not give an error on a successful
 364       role transfer.
 365     * BUG 10157: Regression causes replication failure with Windows 2008R2 and
 366       deletes Deleted Objects.
 367
 368
 369 o   Günther Deschner <gd@samba.org>
 370     * BUG 10147: Better document potential implications of a globally used
 371       "valid users".
 372
 373
 374 o   Korobkin <korobkin+samba@gmail.com>
 375     * BUG 10118: Raise the level of a debug when unable to open a printer.
 376
 377
 378 o   Volker Lendecke <vl@samba.org>
 379     * BUG 10008: dbwrap_ctdb: Treat empty records as non-existing.
 380     * BUG 10138: smbd: Always clean up share modes after hard crash.
 381
 382
 383 o   Daniel Liberman <danielvl@gmail.com>
 384     * BUG 10162: Fix POSIX ACL mapping when setting DENY ACE's from Windows.
 385
 386
 387 o   Stefan Metzmacher <metze@samba.org>
 388     * BUG 10144: libcli/smb: Use SMB1 MID=0 for the initial Negprot.
 389     * BUG 10146: libcli/smb: Only check the SMB2 session setup signature if
 390       required and valid.
 391
 392
 393 o   Matthieu Patou <mat@matws.net>
 394     * BUG 10158: Netbios related samba process consumes 100% CPU.
 395
 396
 397 o   Christof Schmitt <christof.schmitt@us.ibm.com>
 398     * BUG 10137: vfs_shadow_copy2: Display previous versions correctly over
 399       SMB2.
 400
 401
 402 CHANGES SINCE 4.1.0rc2
 403 ======================
 404
 405 o   Michael Adam <obnox@samba.org>
 406     * BUG 10107: Fix Winbind crashes on DC with trusted AD domains.
 407
 408
 409 o   Jeremy Allison <jra@samba.org>
 410     * BUG 5917: Fix working on site with Read Only Domain Controller.
 411     * BUG 9974: Add SMB2 and SMB3 support for smbclient.
 412     * BUG 10063: Fix memory leak in source3/lib/util.c:1493.
 413     * BUG 10121: Masks incorrectly applied to UNIX extension permission
 414       changes.
 415
 416
 417 o   Christian Ambach <ambi@samba.org>
 418     * BUG 9911: Build Samba 4.0.x on AIX with IBM XL C/C++.
 419
 420
 421 o   Andrew Bartlett <abartlet@samba.org>
 422     * BUG 9091: When replicating DNS for bind9_dlz we need to create the
 423       server-DNS account remotely.
 424
 425
 426 o   Günther Deschner <gd@samba.org>
 427     * BUG 9615: Winbind unable to retrieve user information from AD.
 428     * BUG 9899: winbind_lookup_names() fails because of
 429       NT_STATUS_CANT_ACCESS_DOMAIN_INFO.
 430     * BUG 10107: Fix Winbind crashes on DC with trusted AD domains.
 431
 432
 433 o   Volker Lendecke <vl@samba.org>
 434     * BUG 10086: smbd: Fix async echo handler forking.
 435     * BUG 10106: Honour output buffer length set by the client for SMB2 GetInfo
 436       requests.
 437     * BUG 10114: Handle Dropbox (write-only-directory) case correctly
 438       in pathname lookup.
 439
 440
 441 o   Stefan Metzmacher <metze@samba.org>
 442     * BUG 10030: ::1 added to nameserver on join.
 443
 444
 445 o   Rusty Russell <rusty@rustcorp.com.au>
 446     * BUG 10000: Add man pages for ntdb tools.
 447
 448
 449 o   Karolin Seeger <kseeger@samba.org>
 450     * BUG 7364: Add man page for vfs_syncops.
 451     * BUG 7490: Add man page for vfs_linux_xfs_sgid.
 452     * BUG 10001: Add man page for samba-regedit tool.
 453     * BUG 10076: Fix variable list in vfs_crossrename man page.
 454
 455
 456 o   Andreas Schneider <asn@samba.org>
 457     * BUG 10073: Fix segmentation fault in 'net ads join'.
 458     * BUG 10082: s3-winbind: Fix a segfault passing NULL to a fstring argument.
 459
 460
 461 o   Richard Sharpe <realrichardsharpe@gmail.com>
 462     * BUG 10097: MacOSX 10.9 will not follow path-based DFS referrals handed
 463       out by Samba.
 464
 465
 466 o   Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 467     * BUG 10106: Honour output buffer length set by the client for SMB2 GetInfo
 468       requests.
 469
 470
 471 CHANGES SINCE 4.1.0rc1
 472 ======================
 473
 474 o   Jeremy Allison <jra@samba.org>
 475     * BUG 9992: Windows error 0x800700FE when copying files with xattr names
 476       containing ":".
 477     * BUG 10010: Missing integer wrap protection in EA list reading can cause
 478       server to loop with DOS (CVE-2013-4124).
 479     * BUG 10064: Linux kernel oplock breaks can miss signals.
 480
 481
 482 o   Andrew Bartlett <abartlet@samba.org>
 483     * BUG 9029: Fix replication with --domain-crictical-only to fill in
 484       backlinks.
 485     * BUG 9820: Fix crash of winbind after "ls -l
 486       /usr/local/samba/var/locks/sysvol".
 487     * BUG 10056: dsdb improvements.
 488
 489
 490 o   Björn Baumbach <bb@sernet.de>
 491     * BUG 10003: Fix segfault while reading incomplete session info.
 492
 493
 494 o   Gregor Beck <gbeck@sernet.de>
 495     * BUG 9678: Windows 8 Roaming profiles fail.
 496
 497
 498 o   Günther Deschner <gd@samba.org>
 499     * BUG 10043: Allow to change the default location for Kerberos credential
 500       caches.
 501
 502
 503 o   Volker Lendecke <vl@samba.org>
 504     * BUG 10013: Fix a 100% loop at shutdown time (smbd).
 505
 506
 507 o   Stefan Metzmacher <metze@samba.org>
 508     * BUG 9820: Fix crash of winbind after "ls -l
 509       /usr/local/samba/var/locks/sysvol".
 510     * BUG 10015: Fix/improve debug options.
 511     * BUG 10042: Fix crashes in socket_get_local_addr().
 512     * BUG 10056: dsdb improvements.
 513
 514
 515 o   Andreas Schneider <asn@samba.org>
 516     * BUG 9994: Do not delete an existing valid credential cache (s3-winbind).
 517     * BUG 10040: Rename regedit to samba-regedit.
 518     * BUG 10041: Remove obsolete swat manpage and references.
 519     * BUG 10048: nsswitch: Add OPT_KRB5CCNAME to avoid an error message.
 520
 521
 522 o   Alexander Werth <alexander.werth@de.ibm.com>
 523     * BUG 10045: Remove a redundant inlined substitution of ACLs.
 524
 525
 526 o   Ralph Wuerthner <ralphw@de.ibm.com>
 527     * BUG 10064: Linux kernel oplock breaks can miss signals.
 528
 529
 530 #######################################
 531 Reporting bugs & Development Discussion
 532 #######################################
 533
 534 Please discuss this release on the samba-technical mailing list or by
 535 joining the #samba-technical IRC channel on irc.freenode.net.
 536
 537 If you do report problems then please try to send high quality
 538 feedback. If you don't provide vital information to help us track down
 539 the problem then you will probably be ignored.  All bug reports should
 540 be filed under the Samba 4.1 product in the project's Bugzilla
 541 database (https://bugzilla.samba.org/).
 542
 543
 544 ======================================================================
 545 == Our Code, Our Bugs, Our Responsibility.
 546 == The Samba Team
 547 ======================================================================
 548