WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.10.8
   3                           September 3, 2019
   4                    ==============================
   5
   6
   7 This is a security release in order to address the following defect:
   8
   9 o  CVE-2019-10197: Combination of parameters and permissions can allow user
  10                    to escape from the share path definition.
  11
  12 =======
  13 Details
  14 =======
  15
  16 o  CVE-2019-10197:
  17    Under certain parameter configurations, when an SMB client accesses a network
  18    share and the user does not have permission to access the share root
  19    directory, it is possible for the user to escape from the share to see the
  20    complete '/' filesystem. Unix permission checks in the kernel are still
  21    enforced.
  22
  23
  24 Changes since 4.10.7:
  25 ---------------------
  26
  27 o  Jeremy Allison <jra@samba.org>
  28    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
  29      from the share.
  30
  31 o  Stefan Metzmacher <metze@samba.org>
  32    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
  33      from the share.
  34
  35
  36 #######################################
  37 Reporting bugs & Development Discussion
  38 #######################################
  39
  40 Please discuss this release on the samba-technical mailing list or by
  41 joining the #samba-technical IRC channel on irc.freenode.net.
  42
  43 If you do report problems then please try to send high quality
  44 feedback. If you don't provide vital information to help us track down
  45 the problem then you will probably be ignored.  All bug reports should
  46 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  47 database (https://bugzilla.samba.org/).
  48
  49
  50 ======================================================================
  51 == Our Code, Our Bugs, Our Responsibility.
  52 == The Samba Team
  53 ======================================================================
  54
  55
  56 Release notes for older releases follow:
  57 ----------------------------------------
  58
  59                    ==============================
  60                    Release Notes for Samba 4.10.7
  61                            August 22, 2019
  62                    ==============================
  63
  64
  65 This is the latest stable release of the Samba 4.10 release series.
  66
  67
  68 Changes since 4.10.6:
  69 ---------------------
  70
  71 o  Michael Adam <obnox@samba.org>
  72    * BUG 14010: Unable to create or rename file/directory inside shares
  73      configured with vfs_glusterfs_fuse module.
  74
  75 o  Andrew Bartlett <abartlet@samba.org>
  76    * BUG 13844: build: Allow build when '--disable-gnutls' is set.
  77
  78 o  Björn Baumbach <bb@sernet.de>
  79    * BUG 13973: samba-tool: Add 'import samba.drs_utils' to fsmo.py.
  80
  81 o  Tim Beale <timbeale@catalyst.net.nz>
  82    * BUG 14008: Fix 'Error 32 determining PSOs in system' message on old DB
  83      with FL upgrade.
  84    * BUG 14021: s4/libnet: Fix joining a Windows pre-2008R2 DC.
  85    * BUG 14046: join: Use a specific attribute order for the DsAddEntry
  86      nTDSDSA object.
  87
  88 o  Ralph Boehme <slow@samba.org>
  89    * BUG 14015: vfs_catia: Pass stat info to synthetic_smb_fname().
  90
  91 o  Alexander Bokovoy <ab@samba.org>
  92    * BUG 14091: lookup_name: Allow own domain lookup when flags == 0.
  93
  94 o  Gary Lockyer <gary@catalyst.net.nz>
  95    * BUG 13932: s4 librpc rpc pyrpc: Ensure tevent_context deleted last.
  96
  97 o  Stefan Metzmacher <metze@samba.org>
  98    * BUG 13915: DEBUGC and DEBUGADDC doesn't print into a class specific log
  99      file.
 100    * BUG 13949: Request to keep deprecated option "server schannel",
 101      VMWare Quickprep requires "auto".
 102    * BUG 13967: dbcheck: Fallback to the default tombstoneLifetime of 180 days.
 103    * BUG 13969: dnsProperty fails to decode values from older Windows versions.
 104    * BUG 13973: samba-tool: Use only one LDAP modify for dns partition fsmo
 105      role transfer.
 106
 107 o  Andreas Schneider <asn@samba.org>
 108    * BUG 13960: third_party: Update waf to version 2.0.17.
 109
 110 o  Garming Sam <garming@catalyst.net.nz>
 111    * BUG 14051: netcmd: Allow 'drs replicate --local' to create partitions.
 112
 113 o  Rafael David Tinoco <rafaeldtinoco@ubuntu.com>
 114    * BUG 14017: ctdb-config: Depend on /etc/ctdb/nodes file.
 115
 116
 117 #######################################
 118 Reporting bugs & Development Discussion
 119 #######################################
 120
 121 Please discuss this release on the samba-technical mailing list or by
 122 joining the #samba-technical IRC channel on irc.freenode.net.
 123
 124 If you do report problems then please try to send high quality
 125 feedback. If you don't provide vital information to help us track down
 126 the problem then you will probably be ignored.  All bug reports should
 127 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 128 database (https://bugzilla.samba.org/).
 129
 130
 131 ======================================================================
 132 == Our Code, Our Bugs, Our Responsibility.
 133 == The Samba Team
 134 ======================================================================
 135
 136
 137 ----------------------------------------------------------------------
 138
 139
 140                    ==============================
 141                    Release Notes for Samba 4.10.6
 142                            July 8, 2019
 143                    ==============================
 144
 145
 146 This is the latest stable release of the Samba 4.10 release series.
 147
 148
 149 Changes since 4.10.5:
 150 ---------------------
 151
 152 o  Jeremy Allison <jra@samba.org>
 153    * BUG 13956: s3: winbind: Fix crash when invoking winbind idmap scripts.
 154    * BUG 13964: smbd does not correctly parse arguments passed to dfree and
 155      quota scripts.
 156
 157 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 158    * BUG 13965: samba-tool dns: use bytes for inet_ntop.
 159
 160 o  Andrew Bartlett <abartlet@samba.org>
 161    * BUG 13828: samba-tool domain provision: Fix --interactive module in
 162      python3.
 163    * BUG 13893: ldb_kv: Skip @ records early in a search full scan.
 164    * BUG 13981: docs: Improve documentation of "lanman auth" and "ntlm auth"
 165      connection.
 166
 167 o  Björn Baumbach <bb@sernet.de>
 168    * BUG 14002: python/ntacls: Use correct "state directory" smb.conf option
 169      instead of "state dir".
 170
 171 o  Ralph Boehme <slow@samba.org>
 172    * BUG 13840: registry: Add a missing include.
 173    * BUG 13944: Fix SMB guest authentication.
 174    * BUG 13958: AppleDouble conversion breaks Resourceforks.
 175    * BUG 13968: vfs_fruit makes direct use of syscalls like mmap() and pread().
 176    * BUG 13987: s3:mdssvc: Fix flex compilation error.
 177
 178 o  Günther Deschner <gd@samba.org>
 179    * BUG 13872: s3/vfs_glusterfs[_fuse]: Avoid using NAME_MAX directly:
 180
 181 o  Aaron Haslett <aaronhaslett@catalyst.net.nz>
 182    * BUG 13799: dsdb:samdb: schemainfo update with relax control.
 183
 184 o  Aliaksei Karaliou <akaraliou@panasas.com>
 185    * BUG 13964: s3:util: Move static file_pload() function to lib/util.
 186
 187 o  Volker Lendecke <vl@samba.org>
 188    * BUG 13957: smbd: Fix a panic.
 189
 190 o  Gary Lockyer <gary@catalyst.net.nz>
 191    * BUG 12478: ldap server: Generate correct referral schemes.
 192    * BUG 13941: s4 dsdb/repl_meta_data: fix use after free in
 193      dsdb_audit_add_ldb_value.
 194    * BUG 13942: s4 dsdb: Fix use after free in
 195      samldb_rename_search_base_callback.
 196
 197 o  Stefan Metzmacher <metze@samba.org>
 198    * BUG 12204: dsdb/repl: we need to replicate the whole schema before we can
 199      apply it.
 200    * BUG 12478: ldb: Release ldb 1.5.5
 201    * BUG 13713: Schema replication fails if link crosses chunk boundary
 202      backwards.
 203    * BUG 13799: 'samba-tool domain schemaupgrade' uses relax control and skips
 204      the schemaInfo update provision.
 205    * BUG 13916: dsdb_audit: avoid printing "... remote host [Unknown]
 206      SID [(NULL SID)] ..."
 207    * BUG 13917: python/ntacls: We only need security.SEC_STD_READ_CONTROL in
 208      order to get the ACL.
 209
 210 o  Shyamsunder Rathi <shyam.rathi@nutanix.com>
 211    * BUG 13947: s3:loadparm: Ensure to truncate FS Volume Label at multibyte
 212      boundary.
 213
 214 o  Andreas Schneider <asn@samba.org>
 215    * BUG 13939: Using Kerberos credentials to print using spoolss doesn't work.
 216
 217 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 218    * BUG 13998: wafsamba: Use native waf timer.
 219
 220 o  Rafael David Tinoco <rafaeldtinoco@ubuntu.com>
 221    * BUG 13984: ctdb-scripts: Fix tcp_tw_recycle existence check.
 222
 223
 224 #######################################
 225 Reporting bugs & Development Discussion
 226 #######################################
 227
 228 Please discuss this release on the samba-technical mailing list or by
 229 joining the #samba-technical IRC channel on irc.freenode.net.
 230
 231 If you do report problems then please try to send high quality
 232 feedback. If you don't provide vital information to help us track down
 233 the problem then you will probably be ignored.  All bug reports should
 234 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 235 database (https://bugzilla.samba.org/).
 236
 237
 238 ======================================================================
 239 == Our Code, Our Bugs, Our Responsibility.
 240 == The Samba Team
 241 ======================================================================
 242
 243
 244 ----------------------------------------------------------------------
 245
 246
 247                    ==============================
 248                    Release Notes for Samba 4.10.5
 249                            June 19, 2019
 250                    ==============================
 251
 252
 253 This is a security release in order to address the following defects:
 254
 255 o  CVE-2019-12435 (Samba AD DC Denial of Service in DNS management server
 256                   (dnsserver))
 257 o  CVE-2019-12436 (Samba AD DC LDAP server crash (paged searches))
 258
 259 =======
 260 Details
 261 =======
 262
 263 o  CVE-2019-12435:
 264    An authenticated user can crash the Samba AD DC's RPC server process via a
 265    NULL pointer dereference.
 266
 267 o  CVE-2019-12436:
 268     An user with read access to the directory can cause a NULL pointer
 269     dereference using the paged search control.
 270
 271 For more details and workarounds, please refer to the security advisories.
 272
 273
 274 Changes since 4.10.4:
 275 ---------------------
 276
 277 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 278    * BUG 13922: CVE-2019-12435 rpc/dns: Avoid NULL deference if zone not found
 279      in DnssrvOperation2.
 280    * BUG 13951: CVE-2019-12436 dsdb/paged_results: Ignore successful results
 281      without messages.
 282
 283
 284 #######################################
 285 Reporting bugs & Development Discussion
 286 #######################################
 287
 288 Please discuss this release on the samba-technical mailing list or by
 289 joining the #samba-technical IRC channel on irc.freenode.net.
 290
 291 If you do report problems then please try to send high quality
 292 feedback. If you don't provide vital information to help us track down
 293 the problem then you will probably be ignored.  All bug reports should
 294 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 295 database (https://bugzilla.samba.org/).
 296
 297
 298 ======================================================================
 299 == Our Code, Our Bugs, Our Responsibility.
 300 == The Samba Team
 301 ======================================================================
 302
 303
 304 ----------------------------------------------------------------------
 305
 306
 307                    ==============================
 308                    Release Notes for Samba 4.10.4
 309                             May 22, 2019
 310                    ==============================
 311
 312
 313 This is the latest stable release of the Samba 4.10 release series.
 314
 315
 316 Changes since 4.10.3:
 317 ---------------------
 318
 319 o  Jeremy Allison <jra@samba.org>
 320    * BUG 13938: s3: SMB1: Don't allow recvfile on stream fsp's.
 321
 322 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 323    * BUG 13882: py/provision: Fix for Python 2.6.
 324
 325 o  Tim Beale <timbeale@catalyst.net.nz>
 326    * BUG 13873: netcmd: Fix 'passwordsettings --max-pwd-age' command.
 327
 328 o  Ralph Boehme <slow@samba.org>
 329    * BUG 13938: s3:smbd: Don't use recvfile on streams.
 330
 331 o  Günther Deschner <gd@samba.org>
 332    * BUG 13861: s3-libnet_join: 'net ads join' to child domain fails when using
 333      "-U admin@forestroot".
 334
 335 o  David Disseldorp <ddiss@samba.org>
 336    * BUG 13896: vfs_ceph: Explicitly enable libcephfs POSIX ACL support.
 337    * BUG 13940: vfs_ceph: Fix cephwrap_flistxattr() debug message.
 338
 339 o  Amitay Isaacs <amitay@gmail.com>
 340    * BUG 13895: ctdb-common: Avoid race between fd and signal events.
 341    * BUG 13943: ctdb-common: Fix memory leak in run_proc.
 342
 343 o  Volker Lendecke <vl@samba.org>
 344    * BUG 13892: lib: Initialize getline() arguments.
 345    * BUG 13903: winbind: Fix overlapping id ranges.
 346
 347 o  Gary Lockyer <gary@catalyst.net.nz>
 348    * BUG 13902: lib util debug: Increase format buffer to 4KiB.
 349    * BUG 13927: nsswitch pam_winbind: Fix Asan use after free.
 350    * BUG 13929: s4 lib socket: Ensure address string owned by parent struct.
 351    * BUG 13936: s3 rpc_client: Fix Asan stack use after scope.
 352
 353 o  Stefan Metzmacher <metze@samba.org>
 354    * BUG 10097: s3:smbd: Handle IO_REPARSE_TAG_DFS in
 355      SMB_FIND_FILE_FULL_DIRECTORY_INFO.
 356    * BUG 10344: smb2_tcon: Avoid STATUS_PENDING completely on tdis.
 357    * BUG 12845: smb2_sesssetup: avoid STATUS_PENDING responses for session
 358      setup.
 359    * BUG 13698: smb2_tcon: Avoid STATUS_PENDING completely on tdis.
 360    * BUG 13796: smb2_sesssetup: avoid STATUS_PENDING responses for session
 361      setup.
 362    * BUG 13843: dbcheck: Fix the err_empty_attribute() check.
 363    * BUG 13858: vfs_snapper: Drop unneeded fstat handler.
 364    * BUG 13862: vfs_default: Fix vfswrap_offload_write_send()
 365      NT_STATUS_INVALID_VIEW_SIZE check.
 366    * BUG 13863: smb2_server: Grant all 8192 credits to clients.
 367    * BUG 13919: smbd: Implement SMB_FILE_NORMALIZED_NAME_INFORMATION handling.
 368
 369 o  Anoop C S <anoopcs@redhat.com>
 370    * BUG 13872: s3/vfs_glusterfs: Dynamically determine NAME_MAX.
 371
 372 o  Robert Sander <r.sander@heinlein-support.de>
 373    * BUG 13918: s3: modules: ceph: Use current working directory instead of
 374      share path.
 375
 376 o  Christof Schmitt <cs@samba.org>
 377    * BUG 13831: winbind: Use domain name from lsa query for sid_to_name cache
 378      entry.
 379    * BUG 13865: memcache: Increase size of default memcache to 512k.
 380
 381 o  Andreas Schneider <asn@samba.org>
 382    * BUG 13857: docs: Update smbclient manpage for "--max-protocol".
 383    * BUG 13861: 'net ads join' to child domain fails when using
 384      "-U admin@forestroot".
 385    * BUG 13937: s3:utils: If share is NULL in smbcacls, don't print it.
 386    * BUG 13939: s3:smbspool: Fix regression printing with Kerberos credentials.
 387
 388 o  Martin Schwenke <martin@meltin.net>
 389    * BUG 13860: ctdb-scripts: CTDB restarts failed NFS RPC services by hand,
 390      which is incompatible with systemd.
 391    * BUG 13888: ctdb-daemon: Revert "We can not assume that just because we
 392      could complete a TCP handshake".
 393    * BUG 13930: ctdb-daemon: Never use 0 as a client ID.
 394    * BUG 13943: ctdb-common: Fix memory leak.
 395
 396 o  Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 397    * BUG 13904: s3:debug: Enable logging for early startup failures.
 398
 399
 400 #######################################
 401 Reporting bugs & Development Discussion
 402 #######################################
 403
 404 Please discuss this release on the samba-technical mailing list or by
 405 joining the #samba-technical IRC channel on irc.freenode.net.
 406
 407 If you do report problems then please try to send high quality
 408 feedback. If you don't provide vital information to help us track down
 409 the problem then you will probably be ignored.  All bug reports should
 410 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 411 database (https://bugzilla.samba.org/).
 412
 413
 414 ======================================================================
 415 == Our Code, Our Bugs, Our Responsibility.
 416 == The Samba Team
 417 ======================================================================
 418
 419
 420 ----------------------------------------------------------------------
 421
 422
 423                    ==============================
 424                    Release Notes for Samba 4.10.3
 425                             May 14, 2019
 426                    ==============================
 427
 428
 429 This is a security release in order to address the following defect:
 430
 431 o  CVE-2018-16860 (Samba AD DC S4U2Self/S4U2Proxy unkeyed checksum)
 432
 433
 434 =======
 435 Details
 436 =======
 437
 438 o  CVE-2018-16860:
 439    The checksum validation in the S4U2Self handler in the embedded Heimdal KDC
 440    did not first confirm that the checksum was keyed, allowing replacement of
 441    the requested target (client) principal.
 442
 443 For more details and workarounds, please refer to the security advisory.
 444
 445
 446 Changes since 4.10.2:
 447 ---------------------
 448
 449 o  Isaac Boukris <iboukris@gmail.com>
 450    * BUG 13685: CVE-2018-16860: Heimdal KDC: Reject PA-S4U2Self with unkeyed
 451      checksum.
 452
 453
 454 #######################################
 455 Reporting bugs & Development Discussion
 456 #######################################
 457
 458 Please discuss this release on the samba-technical mailing list or by
 459 joining the #samba-technical IRC channel on irc.freenode.net.
 460
 461 If you do report problems then please try to send high quality
 462 feedback. If you don't provide vital information to help us track down
 463 the problem then you will probably be ignored.  All bug reports should
 464 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 465 database (https://bugzilla.samba.org/).
 466
 467
 468 ======================================================================
 469 == Our Code, Our Bugs, Our Responsibility.
 470 == The Samba Team
 471 ======================================================================
 472
 473
 474 ----------------------------------------------------------------------
 475
 476
 477                    ==============================
 478                    Release Notes for Samba 4.10.2
 479                            April 8, 2019
 480                    ==============================
 481
 482
 483 This is a security release in order to address the following defects:
 484
 485 o  CVE-2019-3870 (World writable files in Samba AD DC private/ dir)
 486 o  CVE-2019-3880 (Save registry file outside share as unprivileged user)
 487
 488
 489 =======
 490 Details
 491 =======
 492
 493 o  CVE-2019-3870:
 494    During the provision of a new Active Directory DC, some files in the private/
 495    directory are created world-writable.
 496
 497 o  CVE-2019-3880:
 498    Authenticated users with write permission can trigger a symlink traversal to
 499    write or detect files outside the Samba share.
 500
 501 For more details and workarounds, please refer to the security advisories.
 502
 503
 504 Changes since 4.10.1:
 505 ---------------------
 506
 507 o  Andrew Bartlett <abartlet@samba.org>
 508    * BUG 13834: CVE-2019-3870: pysmbd: Ensure a zero umask is set for
 509      smbd.mkdir().
 510
 511 o  Jeremy Allison <jra@samba.org>
 512    * BUG 13851: CVE-2018-14629: rpc: winreg: Remove implementations of
 513      SaveKey/RestoreKey.
 514
 515
 516 #######################################
 517 Reporting bugs & Development Discussion
 518 #######################################
 519
 520 Please discuss this release on the samba-technical mailing list or by
 521 joining the #samba-technical IRC channel on irc.freenode.net.
 522
 523 If you do report problems then please try to send high quality
 524 feedback. If you don't provide vital information to help us track down
 525 the problem then you will probably be ignored.  All bug reports should
 526 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 527 database (https://bugzilla.samba.org/).
 528
 529
 530 ======================================================================
 531 == Our Code, Our Bugs, Our Responsibility.
 532 == The Samba Team
 533 ======================================================================
 534
 535
 536 ----------------------------------------------------------------------
 537
 538
 539                    ==============================
 540                    Release Notes for Samba 4.10.1
 541                            April 3, 2019
 542                    ==============================
 543
 544
 545 This is the latest stable release of the Samba 4.10 release series.
 546
 547
 548 Changes since 4.10.0:
 549 ---------------------
 550
 551 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 552    * BUG 13837: py/kcc_utils: py2.6 compatibility.
 553
 554 o  Philipp Gesang <philipp.gesang@intra2net.com>
 555    * BUG 13869: libcli: permit larger values of DataLength in
 556      SMB2_ENCRYPTION_CAPABILITIES of negotiate response.
 557
 558 o  Michael Hanselmann <public@hansmi.ch>
 559    * BUG 13840: regfio: Improve handling of malformed registry hive files.
 560
 561 o  Amitay Isaacs <amitay@samba.org>
 562    * BUG 13789: ctdb-version: Simplify version string usage.
 563
 564 o  Volker Lendecke <vl@samba.org>
 565    * BUG 13859: lib: Make fd_load work for non-regular files.
 566
 567 o  Stefan Metzmacher <metze@samba.org>
 568    * BUG 13816: dbcheck in the middle of the tombstone garbage collection causes
 569      replication failures, dbcheck: add --selftest-check-expired-tombstones
 570      cmdline option.
 571    * BUG 13818: ndr_spoolss_buf: Fix out of scope use of stack variable in
 572      NDR_SPOOLSS_PUSH_ENUM_OUT().
 573
 574 o  Anoop C S <anoopcs@redhat.com>
 575    * BUG 13854: s4/messaging: Fix undefined reference in linking
 576      libMESSAGING-samba4.so.
 577
 578 o  Garming Sam <garming@catalyst.net.nz>
 579    * BUG 13836: acl_read: Fix regression for empty lists.
 580
 581 o  Michael Saxl <mike@mwsys.mine.bz>
 582    * BUG 13841: s4:dlz make b9_has_soa check dc=@ node.
 583
 584 o  Andreas Schneider <asn@samba.org>
 585    * BUG 13832: s3:client: Fix printing via smbspool backend with kerberos auth.
 586    * BUG 13847: s4:librpc: Fix installation of Samba.
 587    * BUG 13848: s3:lib: Fix the debug message for adding cache entries.
 588    * BUG 13793: s3:utils: Add 'smbstatus -L --resolve-uids' to show username.
 589    * BUG 13848: s3:lib: Fix the debug message for adding cache entries.
 590    * BUG 13853: s3:waf: Fix the detection of makdev() macro on Linux.
 591
 592 o  Martin Schwenke <martin@meltin.net>
 593    * BUG 13789: ctdb-build: Drop creation of .distversion in tarball.
 594    * BUG 13838: ctdb-packaging: Test package requires tcpdump, ctdb package
 595      should not own system library directory.
 596
 597
 598 #######################################
 599 Reporting bugs & Development Discussion
 600 #######################################
 601
 602 Please discuss this release on the samba-technical mailing list or by
 603 joining the #samba-technical IRC channel on irc.freenode.net.
 604
 605 If you do report problems then please try to send high quality
 606 feedback. If you don't provide vital information to help us track down
 607 the problem then you will probably be ignored.  All bug reports should
 608 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 609 database (https://bugzilla.samba.org/).
 610
 611
 612 ======================================================================
 613 == Our Code, Our Bugs, Our Responsibility.
 614 == The Samba Team
 615 ======================================================================
 616
 617
 618 ----------------------------------------------------------------------
 619
 620
 621                    ==============================
 622                    Release Notes for Samba 4.10.0
 623                            March 19, 2019
 624                    ==============================
 625
 626
 627 This is the first stable release of the Samba 4.10 release series.
 628 Please read the release notes carefully before upgrading.
 629
 630
 631 NEW FEATURES/CHANGES
 632 ====================
 633
 634 GPO Improvements
 635 ----------------
 636
 637 A new 'samba-tool gpo backup' command has been added that can export a
 638 set of Group Policy Objects from a domain in a generalised XML format.
 639
 640 A corresponding 'samba-tool gpo restore' command has been added to
 641 rebuild the Group Policy Objects from the XML after generalization.
 642 (The administrator needs to correct the values of XML entities between
 643 the backup and restore to account for the change in domain).
 644
 645 KDC prefork
 646 -----------
 647
 648 The KDC now supports the pre-fork process model and worker processes will be
 649 forked for the KDC when the pre-fork process model is selected for samba.
 650
 651 Prefork 'prefork children'
 652 --------------------------
 653
 654 The default value for this smdb.conf parameter has been increased from 1 to
 655 4.
 656
 657 Netlogon prefork
 658 ----------------
 659
 660 DCERPC now supports pre-forked NETLOGON processes. The netlogon processes are
 661 pre-forked when the prefork process model is selected for samba.
 662
 663 Offline domain backups
 664 ----------------------
 665
 666 The 'samba-tool domain backup' command has been extended with a new 'offline'
 667 option. This safely creates a backup of the local DC's database directly from
 668 disk. The main benefits of an offline backup are it's quicker, it stores more
 669 database details (for forensic purposes), and the samba process does not have
 670 to be running when the backup is made. Refer to the samba-tool help for more
 671 details on using this command.
 672
 673 Group membership statistics
 674 ---------------------------
 675
 676 A new 'samba-tool group stats' command has been added. This provides summary
 677 information about how the users are spread across groups in your domain.
 678 The 'samba-tool group list --verbose' command has also been updated to include
 679 the number of users in each group.
 680
 681 Paged results LDAP control
 682 --------------------------
 683
 684 The behaviour of the paged results control (1.2.840.113556.1.4.319, RFC2696)
 685 has been changed to more closely match Windows servers, to improve memory
 686 usage. Paged results may be used internally (or is requested by the user) by
 687 LDAP libraries or tools that deal with large result sizes, for example, when
 688 listing all the objects in the database.
 689
 690 Previously, results were returned as a snapshot of the database but now,
 691 some changes made to the set of results while paging may be reflected in the
 692 responses. If strict inter-record consistency is required in answers (which is
 693 not possible on Windows with large result sets), consider avoiding the paged
 694 results control or alternatively, it might be possible to enforce restrictions
 695 using the LDAP filter expression.
 696
 697 For further details see https://wiki.samba.org/index.php/Paged_Results
 698
 699 Prefork process restart
 700 -----------------------
 701
 702 The pre-fork process model now restarts failed processes. The delay between
 703 restart attempts is controlled by the "prefork backoff increment" (default = 10)
 704 and "prefork maximum backoff" (default = 120) smbd.conf parameters.  A linear
 705 back off strategy is used with "prefork backoff increment" added to the
 706 delay between restart attempts up until it reaches "prefork maximum backoff".
 707
 708 Using the default sequence the restart delays (in seconds) are:
 709   0, 10, 20, ..., 120, 120, ...
 710
 711 Standard process model
 712 ----------------------
 713
 714 When using the standard process model samba forks a new process to handle ldap
 715 and netlogon connections.  Samba now honours the 'max smbd processes' smb.conf
 716 parameter.  The default value of 0, indicates there is no limit.  The limit
 717 is applied individually to netlogon and ldap.  When the process limit is
 718 exceeded Samba drops new connections immediately.
 719
 720 python3 support
 721 ---------------
 722
 723 This is the first release of Samba which has full support for Python 3.
 724 Samba 4.10 still has support for Python 2, however, Python 3 will be used by
 725 default, i.e. 'configure' & 'make' will execute using python3.
 726
 727 To build Samba with python2 you *must* set the 'PYTHON' environment variable
 728 for both the 'configure' and 'make' steps, i.e.
 729    'PYTHON=python2 ./configure'
 730    'PYTHON=python2 make'
 731 This will override the python3 default.
 732
 733 Alternatively, it is possible to produce Samba Python bindings for both
 734 Python 2 and Python 3. To do so, specify '--extra-python=/usr/bin/python2'
 735 as part of the 'configure' command. Note that python3 will still be used as
 736 the default in this case.
 737
 738 Note that Samba 4.10 supports Python 3.4 onwards.
 739
 740 Future Python support
 741 ---------------------
 742
 743 Samba 4.10 will be the last release that comes with full support for
 744 Python 2. Unfortunately, the Samba Team doesn't have the resources to support
 745 both Python 2 and Python 3 long-term.
 746
 747 Samba 4.11 will not have any runtime support for Python 2. This means if
 748 you use Python 2 bindings it is time to migrate to Python 3 now.
 749
 750 If you are building Samba using the '--disable-python' option (i.e. you're
 751 excluding all the run-time Python support), then this will continue to work
 752 on a system that supports either python2 or python3.
 753
 754 Also note that Samba 4.11 will most likely only support Python 3.6 onwards.
 755
 756 JSON logging
 757 ------------
 758
 759 Authentication messages now contain the Windows Event Id "eventId" and logon
 760 type "logonType". The supported event codes and logon types are:
 761   Event codes:
 762     4624  Successful logon
 763     4625  Unsuccessful logon
 764
 765   Logon Types:
 766     2  Interactive
 767     3  Network
 768     8  NetworkCleartext
 769
 770 The version number for Authentication messages is now 1.1, changed from 1.0
 771
 772 Password change messages now contain the Windows Event Id "eventId", the
 773 supported event Id's are:
 774   4723 Password changed
 775   4724 Password reset
 776
 777 The version number for PasswordChange messages is now 1.1, changed from 1.0
 778
 779 Group membership change messages now contain the Windows Event Id "eventId",
 780 the supported event Id's are:
 781   4728 A member was added to a security enabled global group
 782   4729 A member was removed from a security enabled global group
 783   4732 A member was added to a security enabled local group
 784   4733 A member was removed from a security enabled local group
 785   4746 A member was added to a security disabled local group
 786   4747 A member was removed from a security disabled local group
 787   4751 A member was added to a security disabled global group
 788   4752 A member was removed from a security disabled global group
 789   4756 A member was added to a security enabled universal group
 790   4757 A member was removed from a security enabled universal group
 791   4761 A member was added to a security disabled universal group
 792   4762 A member was removed from a security disabled universal group
 793
 794
 795 The version number for GroupChange messages is now 1.1, changed from 1.0. Also
 796 A GroupChange message is generated when a new user is created to log that the
 797 user has been added to their primary group.
 798
 799 The leading "JSON <message type>:" and source file  prefix of the JSON formatted
 800 log entries has been removed to make the parsing of the JSON log messages
 801 easier. JSON log entries now start with 2 spaces followed by an opening brace
 802 i.e. "  {"
 803
 804 SMBv2 samba-tool support
 805 ------------------------
 806
 807 On previous releases, some samba-tool commands would not work against a remote
 808 DC that had SMBv1 disabled. SMBv2 support has now been added for samba-tool.
 809 The affected commands are 'samba-tool domain backup|rename' and the
 810 'samba-tool gpo' set of commands. Refer also bug #13676.
 811
 812 New glusterfs_fuse VFS module
 813 -----------------------------
 814
 815 The new vfs_glusterfs_fuse module improves performance when Samba
 816 accesses a glusterfs volume mounted via FUSE (Filesystem in Userspace
 817 as part of the Linux kernel). It achieves that by leveraging a
 818 mechanism to retrieve the appropriate case of filenames by querying a
 819 specific extended attribute in the filesystem. No extra configuration
 820 is required to use this module, only glusterfs_fuse needs to be set in
 821 the "vfs objects" parameter. Further details can be found in the
 822 vfs_glusterfs_fuse(8) manpage. This new vfs_glusterfs_fuse module does
 823 not replace the existing vfs_glusterfs module, it just provides an
 824 additional, alternative mechanism to access a Gluster volume.
 825
 826 REMOVED FEATURES
 827 ================
 828
 829 MIT Kerberos build of the AD DC
 830 -------------------------------
 831
 832 While not removed, the MIT Kerberos build of the Samba AD DC is still
 833 considered experimental.  Because Samba will not issue security
 834 patches for this configuration, such builds now require the explicit
 835 configure option: --with-experimental-mit-ad-dc
 836
 837 For further details see
 838 https://wiki.samba.org/index.php/Running_a_Samba_AD_DC_with_MIT_Kerberos_KDC
 839
 840 samba_backup
 841 ------------
 842
 843 The samba_backup script has been removed. This has now been replaced by the
 844 'samba-tool domain backup offline' command.
 845
 846 SMB client Python bindings
 847 --------------------------
 848
 849 The SMB client python bindings are now deprecated and will be removed in future
 850 Samba releases. This will only affects users that may have used the Samba
 851 Python bindings to write their own utilities, i.e. users with a custom Python
 852 script that includes the line 'from samba import smb'.
 853
 854 smb.conf changes
 855 ================
 856
 857   Parameter Name                     Description                Default
 858   --------------                     -----------                -------
 859   prefork backoff increment   Delay added to process restart    10 (seconds)
 860                               between attempts.
 861   prefork maximum backoff     Maximum delay for process between 120 (seconds)
 862                               process restart attempts
 863   smbd search ask sharemode   Name changed, old name was
 864                               "smbd:search ask sharemode"
 865   smbd async dosmode          Name changed, old name was
 866                               "smbd:async dosmode"
 867   smbd max async dosmode      Name changed, old name was
 868                               "smbd:max async dosmode"
 869   smbd getinfo ask sharemode  New: similar to "smbd search ask yes
 870                               sharemode" but for SMB getinfo
 871
 872
 873 CHANGES SINCE 4.10.0rc4
 874 =======================
 875
 876 o  Andrew Bartlett <abartlet@samba.org>
 877    * BUG 13760: s4-server: Open and close a transaction on sam.ldb at startup.
 878
 879 o  Ralph Boehme <slow@samba.org>
 880    * BUG 13812: access_check_max_allowed() doesn't process "Owner Rights" ACEs.
 881
 882 o  Joe Guo <joeg@catalyst.net.nz>
 883    * s4/scripting/bin: Open unicode files with utf8 encoding and write
 884    * unicode string.
 885
 886 o  Björn Jacke <bj@sernet.de>
 887    * BUG 13759: sambaundoguididx: Use the right escaped oder unescaped sam ldb
 888      files.
 889
 890 o  Volker Lendecke <vl@samba.org>
 891    * BUG 13813: Fix idmap cache pollution with S-1-22- IDs on winbind hickup.
 892
 893 o  Christof Schmitt <cs@samba.org>
 894    * passdb: Update ABI to 0.27.2.
 895    * BUG 13813: lib/winbind_util: Add winbind_xid_to_sid for --without-winbind.
 896
 897 o  Andreas Schneider <asn@samba.org>
 898    * BUG 13823: lib:util: Move debug message for mkdir failing to log level 1.
 899
 900
 901 CHANGES SINCE 4.10.0rc3
 902 =======================
 903
 904 o  Jeremy Allison <jra@samba.org>
 905    * BUG 13803: SMB1 POSIX mkdir does case insensitive name lookup.
 906
 907 o  Ralph Boehme <slow@samba.org>
 908    * BUG 13802: Fix idmap xid2sid cache issue.
 909
 910 o  David Disseldorp <ddiss@samba.org>
 911    * BUG 13807: vfs_ceph strict_allocate_ftruncate calls (local FS) ftruncate
 912      and fallocate.
 913
 914 o  Volker Lendecke <vl@samba.org>
 915    * BUG 13786: messages_dgm: Properly handle receiver re-initialization.
 916
 917 o  Gary Lockyer <gary@catalyst.net.nz>
 918    * BUG 13765: man pages: Document prefork process model.
 919    * BUG 13773: CVE-2019-3824 ldb: wildcard_match end of data check.
 920
 921 o  Stefan Metzmacher <metze@samba.org>
 922    * tdb: Fix compatibility of wscript with older python.
 923    * tevent: version 0.9.39
 924    * BUG 13773: CVE-2019-3824 ldb: version 1.5.4
 925
 926 o  David Mulder <dmulder@suse.com>
 927    * Search for location of waf script.
 928
 929 o  Noel Power <noel.power@suse.com>
 930    * BUG 13777: buildtools/wafsamba: Avoid decode when using python2.
 931
 932 o  Jiří Šašek <jiri.sasek@oracle.com>
 933    * BUG 13704: notifyd: Fix SIGBUS on sparc.
 934
 935 o  Swen Schillig <swen@linux.ibm.com>
 936    * BUG 13791: ctdb: Buffer write beyond limits.
 937
 938 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 939    * BUG 13773: CVE-2019-3824 ldb: Out of bound read in ldb_wildcard_compare.
 940
 941 o  Martin Schwenke <martin@meltin.net>
 942    * BUG 13790: ctdb-config: Change example recovery lock setting to one that
 943      fails.
 944    * BUG 13800: Fix recovery lock bug.
 945
 946
 947 CHANGES SINCE 4.10.0rc2
 948 =======================
 949
 950 o  Jeremy Allison <jra@samba.org>
 951    * BUG 13690: smbd: uid: Don't crash if 'force group' is added to an existing
 952      share connection.
 953    * BUG 13770: s3: VFS: vfs_fruit. Fix the NetAtalk deny mode compatibility
 954      code.
 955
 956 o  Andrew Bartlett <abartlet@samba.org>
 957    * ldb: Release ldb 1.5.3
 958    * BUG 13762: Avoid inefficient one-level searches.
 959    * BUG 13772: The test api.py should not rely on order of entries in dict.
 960
 961 o  Tim Beale <timbeale@catalyst.net.nz>
 962    * BUG 13762: ldb: Avoid inefficient one-level searches.
 963
 964 o  Ralph Boehme <slow@samba.org>
 965    * BUG 13776: tldap: Avoid use after free errors.
 966
 967 o  Günther Deschner <gd@samba.org>
 968    * BUG 13746: s3-smbd: Use fruit:model string for mDNS registration.
 969
 970 o  David Disseldorp <ddiss@samba.org>
 971    * BUG 13766: printing: Check lp_load_printers() prior to pcap cache update.
 972
 973 o  Christof Schmitt <cs@samba.org>
 974    * BUG 13787: waf: Check for libnscd.
 975
 976 o  Andreas Schneider <asn@samba.org>
 977    * BUG 13770: s3:vfs: Correctly check if OFD locks should be enabled or not.
 978    * BUG 13778: Public ZERO_STRUCT() uses undefined C11 function memset_s().
 979
 980
 981 CHANGES SINCE 4.10.0rc1
 982 =======================
 983
 984 o  Jeremy Allison <jra@samba.org>
 985    * BUG 13750: libcli: dns: Change internal DNS_REQUEST_TIMEOUT from 2 to 10
 986      seconds.
 987
 988 o  Tim Beale <timbeale@catalyst.net.nz>
 989    * BUG 13676: samba-tool SMB/sysvol connections do not work if SMBv1 is
 990      disabled.
 991    * BUG 13747: join: Throw CommandError instead of Exception for simple errors.
 992
 993 o  Günther Deschner <gd@samba.org>
 994    * BUG 13774: s3-vfs: Add glusterfs_fuse vfs module.
 995
 996 o  Volker Lendecke <vl@samba.org>
 997    * BUG 13742: ctdb: Print locks latency in machinereadable stats.
 998
 999 o  Stefan Metzmacher <metze@samba.org>
1000    * BUG 13752: s4:server: Add support for 'smbcontrol samba shutdown'.
1001
1002 o  Anoop C S <anoopcs@redhat.com>
1003    * BUG 13330: vfs_glusterfs: Adapt to changes in libgfapi signatures.
1004    * BUG 13774: s3-vfs: Use ENOATTR in errno comparison for getxattr.
1005
1006 o  Justin Stephenson <jstephen@redhat.com>
1007    * BUG 13727: s3:libsmb: Honor disable_netbios option in smbsock_connect_send.
1008
1009
1010 KNOWN ISSUES
1011 ============
1012
1013 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.10#Release_blocking_bugs
1014
1015
1016 #######################################
1017 Reporting bugs & Development Discussion
1018 #######################################
1019
1020 Please discuss this release on the samba-technical mailing list or by
1021 joining the #samba-technical IRC channel on irc.freenode.net.
1022
1023 If you do report problems then please try to send high quality
1024 feedback. If you don't provide vital information to help us track down
1025 the problem then you will probably be ignored.  All bug reports should
1026 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1027 database (https://bugzilla.samba.org/).
1028
1029
1030 ======================================================================
1031 == Our Code, Our Bugs, Our Responsibility.
1032 == The Samba Team
1033 ======================================================================
1034