WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.8.5
   3                            August 24, 2018
   4                    =============================
   5
   6
   7 This is the latest stable release of the Samba 4.8 release series.
   8
   9
  10 Changes since 4.8.4:
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 13474: python: pysmbd: Additional error path leak fix.
  15    * BUG 13511: libsmbclient: Initialize written value before use.
  16    * BUG 13527: s3: libsmbclient: Fix cli_splice() fallback when reading less
  17      than a complete file.
  18    * BUG 13537: Using "sendfile = yes" with SMB2 can cause CPU spin.
  19
  20 o  Andrew Bartlett <abartlet@samba.org>
  21    * BUG 13519: ldb: Refuse to build Samba against a newer minor version of
  22      ldb.
  23    * BUG 13575: ldb: Release LDB 1.3.6.
  24
  25 o  Bailey Berro <baileyberro@chromium.org>
  26    * BUG 13511: libsmbclient: Initialize written in cli_splice_fallback().
  27
  28 o  Ralph Boehme <slow@samba.org>
  29    * BUG 13318: Durable Handles reconnect fails in a cluster when the cluster
  30      fs uses different device ids.
  31    * BUG 13351: s3: smbd: Always set vuid in check_user_ok().
  32    * BUG 13441: vfs_fruit: Delete 0 byte size streams if AAPL is enabled.
  33    * BUG 13451: Fail renaming file if that file has open streams.
  34    * BUG 13505: lib: smb_threads: Fix access before init bug.
  35    * BUG 13535: s3: smbd: Fix path check in
  36      smbd_smb2_create_durable_lease_check().
  37
  38 o  Alexander Bokovoy <ab@samba.org>
  39    * BUG 13538: samba-tool trust: Support discovery via netr_GetDcName.
  40
  41 o  Samuel Cabrero <scabrero@suse.de>
  42    * BUG 13540: ctdb_mutex_ceph_rados_helper: Set SIGINT signal handler.
  43
  44 o  David Disseldorp <ddiss@samba.org>
  45    * BUG 13506: vfs_ceph: Don't lie about flock support.
  46    * BUG 13540: Fix deadlock with ctdb_mutex_ceph_rados_helper.
  47
  48 o  Amitay Isaacs <amitay@gmail.com>
  49    * BUG 13493: ctdb: Fix build on FreeBSD and AIX.
  50
  51 o  Volker Lendecke <vl@samba.org>
  52    * BUG 13553: libsmb: Fix CID 1438243 (Unchecked return value), CID 1438244
  53      (Unsigned compared against 0), CID 1438245 (Dereference before null check),
  54      CID 1438246 (Unchecked return value).
  55    * BUG 13584: vfs_fruit: Fix a panic if fruit_access_check detects a locking
  56      conflict.
  57
  58 o  Gary Lockyer <gary@catalyst.net.nz>
  59    * BUG 13536: The current position in the dns name was not advanced past the
  60      '.' character.
  61
  62 o  Stefan Metzmacher <metze@samba.org>
  63    * BUG 13308: samba-tool domain trust: Fix trust compatibility to Windows
  64      Server 1709 and FreeIPA.
  65
  66 o  Oleksandr Natalenko <oleksandr@redhat.com>
  67    * BUG 13559: systemd: Only start smb when network interfaces are up.
  68
  69 o  Noel Power <noel.power@suse.com>
  70    * BUG 13553: Fix quotas with SMB2.
  71    * BUG 13563: s3/smbd: Ensure quota code is only called when quota support
  72      detected.
  73
  74 o  Anoop C S <anoopcs@redhat.com>
  75    * BUG 13204: s3/libsmb: Explicitly set delete_on_close token for rmdir.
  76
  77 o  Andreas Schneider <asn@samba.org>
  78    * BUG 13489: krb5_plugin: Install plugins to krb5 modules dir.
  79    * BUG 13503: s3:winbind: Do not lookup local system accounts in AD.
  80
  81 o  Martin Schwenke <martin@meltin.net>
  82    * BUG 13499: Don't use CTDB_BROADCAST_VNNMAP.
  83    * BUG 13500: ctdb-daemon: Only consider client ID for local database attach.
  84
  85 o  Justin Stephenson <jstephen@redhat.com>
  86    * BUG 13485: s3:client: Add "--quiet" option to smbclient.
  87
  88 o  Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
  89    * BUG 13568: s3: vfs: time_audit: Fix handling of token_blob in
  90      smb_time_audit_offload_read_recv().
  91
  92
  93 #######################################
  94 Reporting bugs & Development Discussion
  95 #######################################
  96
  97 Please discuss this release on the samba-technical mailing list or by
  98 joining the #samba-technical IRC channel on irc.freenode.net.
  99
 100 If you do report problems then please try to send high quality
 101 feedback. If you don't provide vital information to help us track down
 102 the problem then you will probably be ignored.  All bug reports should
 103 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 104 database (https://bugzilla.samba.org/).
 105
 106
 107 ======================================================================
 108 == Our Code, Our Bugs, Our Responsibility.
 109 == The Samba Team
 110 ======================================================================
 111
 112
 113 Release notes for older releases follow:
 114 ----------------------------------------
 115
 116                    =============================
 117                    Release Notes for Samba 4.8.4
 118                            August 14, 2018
 119                    =============================
 120
 121
 122 This is a security release in order to address the following defects:
 123
 124 o  CVE-2018-1139  (Weak authentication protocol allowed.)
 125 o  CVE-2018-1140  (Denial of Service Attack on DNS and LDAP server.)
 126 o  CVE-2018-10858 (Insufficient input validation on client directory
 127                    listing in libsmbclient.)
 128 o  CVE-2018-10918 (Denial of Service Attack on AD DC DRSUAPI server.)
 129 o  CVE-2018-10919 (Confidential attribute disclosure from the AD LDAP
 130                    server.)
 131
 132
 133 =======
 134 Details
 135 =======
 136
 137 o  CVE-2018-1139:
 138    Vulnerability that allows authentication via NTLMv1 even if disabled.
 139
 140 o  CVE-2018-1140:
 141    Missing null pointer checks may crash the Samba AD DC, both over
 142    DNS and LDAP.
 143
 144 o  CVE-2018-10858:
 145    A malicious server could return a directory entry that could corrupt
 146    libsmbclient memory.
 147
 148 o  CVE-2018-10918:
 149    Missing null pointer checks may crash the Samba AD DC, over the
 150    authenticated DRSUAPI RPC service.
 151
 152 o  CVE-2018-10919:
 153    Missing access control checks allow discovery of confidential attribute
 154    values via authenticated LDAP search expressions.
 155
 156
 157 Changes since 4.8.3:
 158 --------------------
 159
 160 o  Jeremy Allison <jra@samba.org>
 161    * BUG 13453: CVE-2018-10858: libsmb: Harden smbc_readdir_internal() against
 162      returns from malicious servers.
 163
 164 o  Andrew Bartlett <abartlet@samba.org>
 165    * BUG 13374: CVE-2018-1140: ldbsearch '(distinguishedName=abc)' and DNS query
 166      with escapes crashes, ldb: Release LDB 1.3.5 for CVE-2018-1140
 167    * BUG 13552: CVE-2018-10918: cracknames: Fix DoS (NULL pointer de-ref) when
 168      not servicePrincipalName is set on a user.
 169
 170 o  Tim Beale <timbeale@catalyst.net.nz>
 171    * BUG 13434: CVE-2018-10919: acl_read: Fix unauthorized attribute access via
 172      searches.
 173
 174 o  Günther Deschner <gd@samba.org>
 175    * BUG 13360: CVE-2018-1139 libcli/auth: Do not allow ntlmv1 over SMB1 when it
 176      is disabled via "ntlm auth".
 177
 178 o  Andrej Gessel <Andrej.Gessel@janztec.com>
 179    * BUG 13374: CVE-2018-1140 Add NULL check for ldb_dn_get_casefold() in
 180      ltdb_index_dn_attr().
 181
 182
 183 #######################################
 184 Reporting bugs & Development Discussion
 185 #######################################
 186
 187 Please discuss this release on the samba-technical mailing list or by
 188 joining the #samba-technical IRC channel on irc.freenode.net.
 189
 190 If you do report problems then please try to send high quality
 191 feedback. If you don't provide vital information to help us track down
 192 the problem then you will probably be ignored.  All bug reports should
 193 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 194 database (https://bugzilla.samba.org/).
 195
 196
 197 ======================================================================
 198 == Our Code, Our Bugs, Our Responsibility.
 199 == The Samba Team
 200 ======================================================================
 201
 202
 203 ----------------------------------------------------------------------
 204
 205
 206                    =============================
 207                    Release Notes for Samba 4.8.3
 208                             June 26, 2018
 209                    =============================
 210
 211
 212 This is the latest stable release of the Samba 4.8 release series.
 213
 214
 215 Changes since 4.8.2:
 216 --------------------
 217
 218 o  Jeremy Allison <jra@samba.org>
 219    * BUG 13428: s3: smbd: Fix SMB2-FLUSH against directories.
 220    * BUG 13457: s3: smbd: printing: Re-implement delete-on-close semantics for
 221      print files missing since 3.5.x.
 222    * BUG 13474: python: Fix talloc frame use in make_simple_acl().
 223
 224 o  Jeffrey Altman <jaltman@secure-endpoints.com>
 225    * BUG 11573: heimdal: lib/krb5: Do not fail set_config_files due to parse
 226      error.
 227
 228 o  Andrew Bartlett <abartlet@samba.org>
 229    * ldb: version 1.3.4
 230    * BUG 13448: ldb: One-level search was incorrectly falling back to full DB
 231      scan.
 232    * BUG 13452: ldb: Save a copy of the index result before calling the
 233      callbacks.
 234    * BUG 13454: No Backtrace given by Samba's AD DC by default.
 235    * BUG 13471: ldb_tdb: Use mem_ctx and so avoid leak onto long-term memory
 236      on duplicated add.
 237
 238 o  Ralph Boehme <slow@samba.org>
 239    * BUG 13432: s3:smbd: Fix interaction between chown and SD flags.
 240
 241 o  Günther Deschner <gd@samba.org>
 242    * BUG 13437: Fix building Samba with gcc 8.1.
 243
 244 o  Andrej Gessel <Andrej.Gessel@janztec.com>
 245    * BUG 13475: Fix several mem leaks in ldb_index ldb_search ldb_tdb.
 246
 247 o  Volker Lendecke <vl@samba.org>
 248    * BUG 13331: libgpo: Fix the build --without-ads.
 249
 250 o  Stefan Metzmacher <metze@samba.org>
 251    * BUG 13369: Looking up the user using the UPN results in user name with the
 252      REALM instead of the DOMAIN.
 253    * BUG 13427: Fix broken server side GENSEC_FEATURE_LDAP_STYLE handling
 254      (NTLMSSP NTLM2 packet check failed due to invalid signature!).
 255
 256 o  Christof Schmitt <cs@samba.org>
 257    * BUG 13446: smbd: Flush dfree memcache on service reload.
 258    * BUG 13478: krb5_wrap: Fix keep_old_entries logic for older Kerberos
 259      libraries.
 260
 261 o  Andreas Schneider <asn@samba.org>
 262    * BUG 13369: Looking up the user using the UPN results in user name with the
 263      REALM instead of the DOMAIN.
 264    * BUG 13437: Fix building Samba with gcc 8.1.
 265    * BUG 13440: s3:utils: Do not segfault on error in DoDNSUpdate().
 266    * BUG 13480: krb5_plugin: Add winbind localauth plugin for MIT Kerberos.
 267
 268 o  Lukas Slebodnik <lslebodn@fedoraproject.org>
 269    * BUG 13459: ldb: Fix memory leak on module context.
 270
 271
 272 #######################################
 273 Reporting bugs & Development Discussion
 274 #######################################
 275
 276 Please discuss this release on the samba-technical mailing list or by
 277 joining the #samba-technical IRC channel on irc.freenode.net.
 278
 279 If you do report problems then please try to send high quality
 280 feedback. If you don't provide vital information to help us track down
 281 the problem then you will probably be ignored.  All bug reports should
 282 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 283 database (https://bugzilla.samba.org/).
 284
 285
 286 ======================================================================
 287 == Our Code, Our Bugs, Our Responsibility.
 288 == The Samba Team
 289 ======================================================================
 290
 291
 292 ----------------------------------------------------------------------
 293
 294
 295                    =============================
 296                    Release Notes for Samba 4.8.2
 297                             May 16, 2018
 298                    =============================
 299
 300
 301 This is the latest stable release of the Samba 4.8 release series.
 302
 303 Major bug fixes include:
 304 ------------------------
 305
 306    o After update to 4.8.0 DC failed with "Failed to find our own
 307      NTDS Settings objectGUID" (bug #13335).
 308
 309 Changes since 4.8.1:
 310 --------------------
 311
 312 o  Jeremy Allison <jra@samba.org>
 313    * BUG 13380: s3: smbd: Generic fix for incorrect reporting of stream dos
 314      attributes on a directory.
 315    * BUG 13412: ceph: VFS: Add asynchronous fsync to ceph module, fake using
 316      synchronous call.
 317    * BUG 13419: s3: libsmbclient: Fix hard-coded connection error return of
 318      ETIMEDOUT.
 319
 320 o  Andrew Bartlett <abartlet@samba.org>
 321    * BUG 13306: ldb: Release ldb 1.3.3:
 322      * Fix failure to upgrade to the GUID index DB format.
 323      * Add tests for GUID index behaviour.
 324    * BUG 13420: s4-lsa: Fix use-after-free in LSA server.
 325    * BUG 13430: winbindd: Do re-connect if the RPC call fails in the passdb
 326      case.
 327
 328 o  Ralph Boehme <slow@samba.org>
 329    * BUG 13416: s3:cleanupd: Sends MSG_SMB_UNLOCK twice to interested peers.
 330    * BUG 13414: s3:cleanupd: Use MSG_SMB_BRL_VALIDATE to signal cleanupd
 331      unclean process shutdown.
 332
 333 o  David Disseldorp <ddiss@samba.org>
 334    * BUG 13425: vfs_ceph: add fake async pwrite/pread send/recv hooks.
 335
 336 o  Amitay Isaacs <amitay@gmail.com>
 337    * BUG 13411: ctdb-client: Remove ununsed functions from old client code.
 338
 339 o  Björn Jacke <bjacke@samba.org>
 340    * BUG 13395: printing: Return the same error code as windows does on upload
 341      failures.
 342
 343 o  Gary Lockyer <gary@catalyst.net.nz>
 344    * BUG 13335: After update to 4.8.0 DC failed with "Failed to find our own
 345      NTDS Settings objectGUID".
 346
 347 o  Stefan Metzmacher <metze@samba.org>
 348    * BUG 13400: nsswitch: Fix memory leak in winbind_open_pipe_sock() when the
 349      privileged pipe is not accessable.
 350    * BUG 13420: s4:lsa_lookup: remove TALLOC_FREE(state) after all
 351      dcesrv_lsa_Lookup{Names,Sids}_base_map() calls.
 352
 353 o  Vandana Rungta <vrungta@amazon.com>
 354    * BUG 13424: s3: VFS: Fix memory leak in vfs_ceph.
 355
 356 o  Christof Schmitt <cs@samba.org>
 357    * BUG 13407: rpc_server: Fix NetSessEnum with stale sessions.
 358
 359 o  Andreas Schneider <asn@samba.org>
 360    * BUG 13417: s3:smbspool: Fix cmdline argument handling.
 361
 362
 363 #######################################
 364 Reporting bugs & Development Discussion
 365 #######################################
 366
 367 Please discuss this release on the samba-technical mailing list or by
 368 joining the #samba-technical IRC channel on irc.freenode.net.
 369
 370 If you do report problems then please try to send high quality
 371 feedback. If you don't provide vital information to help us track down
 372 the problem then you will probably be ignored.  All bug reports should
 373 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 374 database (https://bugzilla.samba.org/).
 375
 376
 377 ======================================================================
 378 == Our Code, Our Bugs, Our Responsibility.
 379 == The Samba Team
 380 ======================================================================
 381
 382
 383 ----------------------------------------------------------------------
 384
 385
 386                    =============================
 387                    Release Notes for Samba 4.8.1
 388                            April 26, 2018
 389                    =============================
 390
 391
 392 This is the latest stable release of the Samba 4.8 release series.
 393
 394
 395 Changes since 4.8.0:
 396 --------------------
 397
 398 o  Jeremy Allison <jra@samba.org>
 399    * BUG 13244: s3: ldap: Ensure the ADS_STRUCT pointer doesn't get freed on
 400      error, we don't own it here.
 401    * BUG 13270: s3: smbd: Fix possible directory fd leak if the underlying OS
 402      doesn't support fdopendir().
 403    * BUG 13319: Round-tripping ACL get/set through vfs_fruit will increase the
 404      number of ACE entries without limit.
 405    * BUG 13347: s3: smbd: SMB2: Add DBGC_SMB2_CREDITS class to specifically
 406      debug credit issues.
 407    * BUG 13358: s3: smbd: Files or directories can't be opened DELETE_ON_CLOSE
 408      without delete access.
 409    * BUG 13372: s3: smbd: Fix memory leak in vfswrap_getwd().
 410    * BUG 13375: s3: smbd: Unix extensions attempts to change wrong field in
 411      fchown call.
 412
 413 o  Björn Baumbach <bb@sernet.de>
 414    * BUG 13337: ms_schema/samba-tool visualize: Fix python2.6 incompatibility.
 415
 416 o  Timur I. Bakeyev <timur@iXsystems.com>
 417    * BUG 13352: Fix invocation of gnutls_aead_cipher_encrypt().
 418
 419 o  Ralph Boehme <slow@samba.org>
 420    * BUG 13328: Windows 10 cannot logon on Samba NT4 domain.
 421    * BUG 13332: winbindd: Recover loss of netlogon secure channel in case the
 422      peer DC is rebooted.
 423    * BUG 13363: s3:smbd: Don't use the directory cache for SMB2/3.
 424
 425 o  Amitay Isaacs <amitay@gmail.com>
 426    * BUG 13356: ctdb-client: Fix bugs in client code.
 427    * BUG 13359: ctdb-scripts: Drop "net serverid wipe" from 50.samba event
 428      script.
 429
 430 o  Lutz Justen <ljusten@google.com>
 431    * BUG 13368: s3: lib: messages: Don't use the result of sec_init() before
 432      calling sec_init().
 433
 434 o  Volker Lendecke <vl@samba.org>
 435    * BUG 13273: libads: Fix the build '--without-ads'.
 436    * BUG 13332: winbind: Keep "force_reauth" in invalidate_cm_connection,
 437      add 'smbcontrol disconnect-dc'.
 438    * BUG 13343: vfs_virusfilter: Fix CIDs 1428738-1428740.
 439    * BUG 13367: dsdb: Fix CID 1034966 Uninitialized scalar variable.
 440    * BUG 13370: rpc_server: Fix core dump in dfsgetinfo.
 441    * BUG 13382: smbclient: Fix notify.
 442
 443 o  Stefan Metzmacher <metze@samba.org>
 444    * BUG 13215: Fix smbd panic if the client-supplied channel sequence number
 445      wraps.
 446    * BUG 13328: Windows 10 cannot logon on Samba NT4 domain.
 447    * BUG 13342: lib/util: Remove unused '#include <sys/syscall.h>' from
 448      tests/tfork.c.
 449    * BUG 13343: Fix build errors with cc from developerstudio 12.5 on Solaris.
 450    * BUG 13344: Fix the picky-developer build on FreeBSD 11.
 451    * BUG 13345: s3:modules: Fix the build of vfs_aixacl2.c.
 452
 453 o  Anton Nefedov
 454    * BUG 13338: s3:smbd: map nterror on smb2_flush errorpath.
 455
 456 o  Noel Power <noel.power@suse.com>
 457    * BUG 13341: lib:replace: Fix linking when libtirpc-devel overwrites system
 458      headers.
 459
 460 o  Christof Schmitt <cs@samba.org>
 461    * BUG 13312: winbindd: 'wbinfo --name-to-sid' returns misleading result on
 462      invalid query.
 463
 464 o  Andreas Schneider <asn@samba.org>
 465    * BUG 13376: s3:passdb: Do not return OK if we don't have pinfo set up.
 466
 467 o  Eric Vannier <evannier@google.com>
 468    * BUG 13302: Allow AESNI to be used on all processor supporting AESNI.
 469
 470
 471 #######################################
 472 Reporting bugs & Development Discussion
 473 #######################################
 474
 475 Please discuss this release on the samba-technical mailing list or by
 476 joining the #samba-technical IRC channel on irc.freenode.net.
 477
 478 If you do report problems then please try to send high quality
 479 feedback. If you don't provide vital information to help us track down
 480 the problem then you will probably be ignored.  All bug reports should
 481 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 482 database (https://bugzilla.samba.org/).
 483
 484
 485 ======================================================================
 486 == Our Code, Our Bugs, Our Responsibility.
 487 == The Samba Team
 488 ======================================================================
 489
 490
 491 ----------------------------------------------------------------------
 492
 493
 494                    =============================
 495                    Release Notes for Samba 4.8.0
 496                            March 13, 2018
 497                    =============================
 498
 499
 500 This is the first stable release of the Samba 4.8 release series.
 501 Please read the release notes carefully before upgrading.
 502
 503
 504 UPGRADING
 505 =========
 506
 507 New GUID Index mode in sam.ldb for the AD DC
 508 --------------------------------------------
 509
 510 Users who upgrade a Samba AD DC in-place will experience a short delay
 511 in the first startup of Samba while the sam.ldb is re-indexed.
 512
 513 Unlike in previous releases a transparent downgrade is not possible.
 514 If you wish to downgrade such a DB to a Samba 4.7 or earlier version,
 515 please run the source4/scripting/bin/sambaundoguididx script first.
 516
 517 Domain member setups require winbindd
 518 -------------------------------------
 519
 520 Setups with "security = domain" or "security = ads" require a
 521 running 'winbindd' now. The fallback that smbd directly contacts
 522 domain controllers is gone.
 523
 524 smbclient reparse point symlink parameters reversed
 525 ---------------------------------------------------
 526
 527 See the more detailed description below.
 528
 529 Changed trusted domains listing with wbinfo -m --verbose
 530 --------------------------------------------------------
 531
 532 See the more detailed description below.
 533
 534 NEW FEATURES/CHANGES
 535 ====================
 536
 537 New GUID Index mode in sam.ldb for the AD DC
 538 --------------------------------------------
 539
 540 The new layout used for sam.ldb is GUID, rather than DN oriented.
 541 This provides Samba's Active Directory Domain Controller with a faster
 542 database, particularly at larger scale.
 543
 544 The underlying DB is still TDB, simply the choice of key has changed.
 545
 546 The new mode is not optional, so no configuration is required.  Older
 547 Samba versions cannot read the new database (see the upgrade
 548 note above).
 549
 550 KDC GPO application
 551 -------------------
 552
 553 Adds Group Policy support for the Samba kdc. Applies password policies
 554 (minimum/maximum password age, minimum password length, and password
 555 complexity) and kerberos policies (user/service ticket lifetime and
 556 renew lifetime).
 557
 558 Adds the samba_gpoupdate script for applying and unapplying
 559 policy. Can be applied automatically by setting
 560
 561  'apply group policies = yes'.
 562
 563 Time Machine Support with vfs_fruit
 564 -----------------------------------
 565
 566 Samba can be configured as a Time Machine target for Apple Mac devices
 567 through the vfs_fruit module. When enabling a share for Time Machine
 568 support the relevant Avahi records to support discovery will be published
 569 for installations that have been built against the Avahi client library.
 570
 571 Shares can be designated as a Time Machine share with the following setting:
 572
 573   'fruit:time machine = yes'
 574
 575 Support for lower casing the MDNS Name
 576 --------------------------------------
 577
 578 Allows the server name that is advertised through MDNS to be set to the
 579 hostname rather than the Samba NETBIOS name. This allows an administrator
 580 to make Samba registered MDNS records match the case of the hostname
 581 rather than being in all capitals.
 582
 583 This can be set with the following settings:
 584
 585   'mdns name = mdns'
 586
 587 Encrypted secrets
 588 -----------------
 589
 590 Attributes deemed to be sensitive are now encrypted on disk. The sensitive
 591 values are currently:
 592         pekList
 593         msDS-ExecuteScriptPassword
 594         currentValue
 595         dBCSPwd
 596         initialAuthIncoming
 597         initialAuthOutgoing
 598         lmPwdHistory
 599         ntPwdHistory
 600         priorValue
 601         supplementalCredentials
 602         trustAuthIncoming
 603         trustAuthOutgoing
 604         unicodePwd
 605         clearTextPassword
 606
 607 This encryption is enabled by default on a new provision or join, it
 608 can be disabled at provision or join time with the new option
 609 '--plaintext-secrets'.
 610
 611 However, an in-place upgrade will not encrypt the database.
 612
 613 Once encrypted, it is not possible to do an in-place downgrade (eg to
 614 4.7) of the database. To obtain an unencrypted copy of the database a
 615 new DC join should be performed, specifying the '--plaintext-secrets'
 616 option.
 617
 618 The key file "encrypted_secrets.key" is created in the same directory
 619 as the database and should NEVER be disclosed.  It is included by the
 620 samba_backup script.
 621
 622 Active Directory replication visualisation
 623 ------------------------------------------
 624
 625 To work out what is happening in a replication graph, it is sometimes
 626 helpful to use visualisations. We introduce a samba-tool subcommand to
 627 write Graphviz dot output and generate text-based heatmaps of the
 628 distance in hops between DCs.
 629
 630 There are two subcommands, two graphical modes, and (roughly) two modes of
 631 operation with respect to the location of authority.
 632
 633 `samba-tool visualize ntdsconn` looks at NTDS Connections.
 634 `samba-tool visualize reps` looks at repsTo and repsFrom objects.
 635
 636 In '--distance' mode (default), the distances between DCs are shown in
 637 a matrix in the terminal. With '--color=yes', this is depicted as a
 638 heatmap. With '--utf8' it is a lttle prettier.
 639
 640 In '--dot' mode, Graphviz dot output is generated. When viewed using
 641 dot or xdot, this shows the network as a graph with DCs as vertices
 642 and connections edges. Certain types of degenerate edges are shown in
 643 different colours or line-styles.
 644
 645 smbclient reparse point symlink parameters reversed
 646 ---------------------------------------------------
 647
 648 A bug in smbclient caused the 'symlink' command to reverse the
 649 meaning of the new name and link target parameters when creating a
 650 reparse point symlink against a Windows server. As this is a
 651 little used feature the ordering of these parameters has been
 652 reversed to match the parameter ordering of the UNIX extensions
 653 'symlink' command. The usage message for this command has also
 654 been improved to remove confusion.
 655
 656 Winbind changes
 657 ---------------
 658
 659 The dependency to global list of trusted domains within
 660 the winbindd processes has been reduced a lot.
 661
 662 The construction of that global list is not reliable and often
 663 incomplete in complex trust setups. In most situations the list is not needed
 664 any more for winbindd to operate correctly. E.g. for plain file serving via SMB
 665 using a simple idmap setup with autorid, tdb or ad. However some more complex
 666 setups require the list, e.g. if you specify idmap backends for specific
 667 domains. Some pam_winbind setups may also require the global list.
 668
 669 If you have a setup that doesn't require the global list, you should set
 670 "winbind scan trusted domains = no".
 671
 672 Improved support for trusted domains (as AD DC)
 673 -----------------------------------------------
 674
 675 The support for trusted domains/forests has improved a lot.
 676
 677 External domain trusts, as well a transitive forest trusts,
 678 are supported in both directions (inbound and outbound)
 679 for Kerberos and NTLM authentication now.
 680
 681 The LSA LookupNames and LookupSids implementations
 682 support resolving names and sids from trusts domains/forest
 683 now. This is important in order to allow Samba based
 684 domain members to make use of the trust.
 685
 686 However there are currently still a few limitations:
 687
 688 - It's not possible to add users/groups of a trusted domain
 689   into domain groups. So group memberships are not expanded
 690   on trust boundaries.
 691   See https://bugzilla.samba.org/show_bug.cgi?id=13300
 692 - Both sides of the trust need to fully trust each other!
 693 - No SID filtering rules are applied at all!
 694 - This means DCs of domain A can grant domain admin rights
 695   in domain B.
 696 - Selective (CROSS_ORIGANIZATION) authentication is
 697   not supported. It's possible to create such a trust,
 698   but the KDC and winbindd ignore them.
 699
 700 Changed trusted domains listing with wbinfo -m --verbose
 701 --------------------------------------------------------
 702
 703 The trust properties printed by wbinfo -m --verbose have been changed to
 704 correctly reflect the view of the system where wbinfo is executed.
 705
 706 The trust type field in particular can show additional values that correctly
 707 reflect the type of the trust: "Local" for the local SAM and BUILTIN,
 708 "Workstation" for a workstation trust to the primary domain, "RWDC" for the SAM
 709 on a AD DC, "RODC" for the SAM on a read-only DC, "PDC" for the SAM on a
 710 NT4-style DC, "Forest" for a AD forest trust and "External" for quarantined,
 711 external or NT4-style trusts.
 712
 713 Indirect trusts are shown as "Routed" including the routing domain.
 714
 715 Example, on a AD DC (SDOM1):
 716
 717 Domain Name DNS Domain          Trust Type  Transitive  In   Out
 718 BUILTIN                         Local
 719 SDOM1       sdom1.site          RWDC
 720 WDOM3       wdom3.site          Forest      Yes         No   Yes
 721 WDOM2       wdom2.site          Forest      Yes         Yes  Yes
 722 SUBDOM31    subdom31.wdom3.site Routed (via WDOM3)
 723 SUBDOM21    subdom21.wdom2.site Routed (via WDOM2)
 724
 725 Same setup, on a member of WDOM2:
 726
 727 Domain Name DNS Domain          Trust Type  Transitive  In   Out
 728 BUILTIN                         Local
 729 TITAN                           Local
 730 WDOM2       wdom2.site          Workstation Yes         No   Yes
 731 WDOM1       wdom1.site          Routed (via WDOM2)
 732 WDOM3       wdom3.site          Routed (via WDOM2)
 733 SUBDOM21    subdom21.wdom2.site Routed (via WDOM2)
 734 SDOM1       sdom1.site          Routed (via WDOM2)
 735 SUBDOM11    subdom11.wdom1.site Routed (via WDOM2)
 736
 737 The list of trusts may be incomplete and additional domains may appear as
 738 "Routed" if a user of an unknown domain is successfully authenticated.
 739
 740 VirusFilter VFS module
 741 ----------------------
 742
 743 This new module integrates with Sophos, F-Secure and ClamAV anti-virus
 744 software to provide scanning and filtering of files on a Samba share.
 745
 746
 747 Local authorization plugin for MIT Kerberos
 748 -------------------------------------------
 749
 750 This plugin controls the relationship between Kerberos principals and AD
 751 accounts through winbind. The module receives the Kerberos principal and the
 752 local account name as inputs and can then check if they match. This can resolve
 753 issues with canonicalized names returned by Kerberos within AD. If the user
 754 tries to log in as 'alice', but the samAccountName is set to ALICE (uppercase),
 755 Kerberos would return ALICE as the username. Kerberos would not be able to map
 756 'alice' to 'ALICE' in this case and auth would fail.  With this plugin account
 757 names can be correctly mapped. This only applies to GSSAPI authentication,
 758 not for the geting the initial ticket granting ticket.
 759
 760 REMOVED FEATURES
 761 ================
 762
 763 'net serverid' commands removed
 764 -------------------------------
 765
 766 The two commands 'net serverid list' and 'net serverid wipe' have been
 767 removed, because the file serverid.tdb is not used anymore.
 768
 769 'net serverid list' can be replaced by listing all files in the
 770 subdirectory "msg.lock" of Samba's "lock directory". The unique id
 771 listed by 'net serverid list' is stored in every process' lockfile in
 772 "msg.lock".
 773
 774 'net serverid wipe' is not necessary anymore. It was meant primarily
 775 for clustered environments, where the serverid.tdb file was not
 776 properly cleaned up after single node crashes. Nowadays smbd and
 777 winbind take care of cleaning up the msg.lock and msg.sock directories
 778 automatically.
 779
 780 NT4-style replication based net commands removed
 781 ------------------------------------------------
 782
 783 The following commands and sub-commands have been removed from the
 784 "net" utility:
 785
 786 net rpc samdump
 787 net rpc vampire ldif
 788
 789 Also, replicating from a real NT4 domain with "net rpc vampire" and
 790 "net rpc vampire keytab" has been removed.
 791
 792 The NT4-based commands were accidentally broken in 2013, and nobody
 793 noticed the breakage. So instead of fixing them including tests (which
 794 would have meant writing a server for the protocols, which we don't
 795 have) we decided to remove them.
 796
 797 For the same reason, the "samsync", "samdeltas" and "database_redo"
 798 commands have been removed from rpcclient.
 799
 800 "net rpc vampire keytab" from Active Directory domains continues to be
 801 supported.
 802
 803 vfs_aio_linux module removed
 804 ----------------------------
 805
 806 The current Linux kernel aio does not match what Samba would
 807 do. Shipping code that uses it leads people to false
 808 assumptions. Samba implements async I/O based on threads by default,
 809 there is no special module required to see benefits of read and write
 810 request being sent do the disk in parallel.
 811
 812
 813 smb.conf changes
 814 ================
 815
 816   Parameter Name                     Description             Default
 817   --------------                     -----------             -------
 818   apply group policies               New                     no
 819   auth methods                       Removed
 820   binddns dir                        New
 821   client schannel                    Default changed/        yes
 822                                      Deprecated
 823   gpo update command                 New
 824   ldap ssl ads                       Deprecated
 825   map untrusted to domain            Removed
 826   oplock contention limit            Removed
 827   prefork children                   New                     1
 828   mdns name                          New                     netbios
 829   fruit:time machine                 New                     false
 830   profile acls                       Removed
 831   use spnego                         Removed
 832   server schannel                    Default changed/        yes
 833                                      Deprecated
 834   unicode                            Deprecated
 835   winbind scan trusted domains       New                     yes
 836   winbind trusted domains only       Removed
 837
 838
 839 CHANGES SINCE 4.8.0rc4
 840 ======================
 841
 842 o  Jeremy Allison <jra@samba.org>
 843    * BUG 11343: CVE-2018-1050: Codenomicon crashes in spoolss server code.
 844
 845 o  Ralph Boehme <slow@samba.org>
 846    * BUG 13272: CVE-2018-1057: Unprivileged user can change any user (and admin)
 847      password.
 848    * BUG 13313: nsswitch: Fix wbinfo -m --verbose trust type "Local".
 849
 850 o  Stefan Metzmacher <metze@samba.org>
 851    * BUG 13272: CVE-2018-1057: Unprivileged user can change any user (and admin)
 852      password.
 853
 854 o  Dan Robertson <drobertson@tripwire.com>
 855    * BUG 13310: libsmb: Use smb2 tcon if conn_protocol >= SMB2_02.
 856
 857 o  Andreas Schneider <asn@samba.org>
 858    * BUG 13315: s3:smbd: Do not crash if we fail to init the session table.
 859
 860
 861 CHANGES SINCE 4.8.0rc3
 862 ======================
 863
 864 o  Ralph Boehme <slow@samba.org>
 865    * BUG 13287: Fix numerous trust related bugs in winbindd and s4 LSA RPC
 866      server.
 867    * BUG 13296: vfs_fruit: Use off_t, not size_t for TM size calculations.
 868
 869 o  Alexander Bokovoy <ab@samba.org>
 870    * BUG 13304: mit-kdb: Support MIT Kerberos 1.16 KDB API changes.
 871
 872 o  Günther Deschner <gd@samba.org>
 873    * BUG 13277: build: Fix libceph-common detection.
 874
 875 o  Poornima G <pgurusid@redhat.com>
 876    * BUG 13297: vfs_glusterfs: Fix the wrong pointer being sent in
 877      glfs_fsync_async.
 878
 879 o  Volker Lendecke <vl@samba.org>
 880    * BUG 13305: vfs_fileid: Fix the 32-bit build.
 881
 882 o  Stefan Metzmacher <metze@samba.org>
 883    * BUG 13206: Unable to authenticate with an empty string domain ''.
 884    * BUG 13276: configure aborts without libnettle/gnutls.
 885    * BUG 13278: winbindd (on an AD DC) should only use netlogon/lsa against
 886      trusted domains.
 887    * BUG 13287: Fix numerous trust related bugs in winbindd and s4 LSA RPC
 888      server.
 889    * BUG 13290: A disconnecting winbind client can cause a problem in
 890      the winbind parent child communication.
 891    * BUG 13291: tevent: version 0.9.36.
 892    * BUG 13292: winbind requests could get stuck in the queue of a busy child,
 893      while later requests could get served fine by other children.
 894    * BUG 13293: Minimize the lifetime of winbindd_cli_state->{pw,gr}ent_state.
 895    * BUG 13294: Avoid using fstrcpy(domain->dcname,...) on a char *.
 896    * BUG 13295: winbind parent should find the dc of a foreign domain via the
 897      primary domain.
 898    * BUG 13299: Disable support for CROSS_ORGANIZATION domains.
 899    * BUG 13306: ldb: version 1.3.2.
 900
 901 o  Sachin Prabhu <sprabhu@redhat.com>
 902    * BUG 13303: vfs_glusterfs: Add fallocate support for vfs_glusterfs.
 903
 904 o  Garming Sam <garming@catalyst.net.nz>
 905    * BUG 13031: subnet: Avoid a segfault when renaming subnet objects.
 906    * BUG 13269: RODC may skip objects during replication due to naming
 907      conflicts.
 908
 909
 910 CHANGES SINCE 4.8.0rc2
 911 ======================
 912
 913 o  Trever L. Adams <trever.adams@gmail.com>
 914    * BUG 13246: Backport Samba VirusFilter.
 915
 916 o  Ralph Boehme <slow@samba.org>
 917    * BUG 13228: dbcheck: Add support for restoring missing forward links.
 918
 919 o  Günther Deschner <gd@samba.org>
 920    * BUG 13221: python: fix the build with python3.
 921
 922 o  Stefan Metzmacher <metze@samba.org>
 923    * BUG 13228: dbcheck: Add support for restoring missing forward links.
 924
 925
 926 CHANGES SINCE 4.8.0rc1
 927 ======================
 928
 929 o  Günther Deschner <gd@samba.org>
 930    * BUG 13227: packaging: Fix default systemd-dir path.
 931    * BUG 13238: build: Deal with recent glibc sunrpc header removal.
 932
 933 o  Stefan Metzmacher <metze@samba.org>
 934    * BUG 13228: repl_meta_data: fix linked attribute corruption on databases
 935      with unsorted links on expunge.
 936
 937 o  Christof Schmitt <cs@samba.org>
 938    * BUG 13217: s3/smbd: Remove file system sharemode before calling unlink.
 939
 940 o  Andreas Schneider <asn@samba.org>
 941    * BUG 13209: Small improvements in winbindd for the resource cleanup in error
 942      cases.
 943    * BUG 13238: Make Samba work with tirpc and libnsl2.
 944
 945
 946 KNOWN ISSUES
 947 ============
 948
 949 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.8#Release_blocking_bugs
 950
 951
 952 #######################################
 953 Reporting bugs & Development Discussion
 954 #######################################
 955
 956 Please discuss this release on the samba-technical mailing list or by
 957 joining the #samba-technical IRC channel on irc.freenode.net.
 958
 959 If you do report problems then please try to send high quality
 960 feedback. If you don't provide vital information to help us track down
 961 the problem then you will probably be ignored.  All bug reports should
 962 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 963 database (https://bugzilla.samba.org/).
 964
 965
 966 ======================================================================
 967 == Our Code, Our Bugs, Our Responsibility.
 968 == The Samba Team
 969 ======================================================================
 970