WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.11.8
   3                            April 28, 2020
   4                    ==============================
   5
   6
   7 This is a security release in order to address the following defects:
   8
   9 o CVE-2020-10700: Use-after-free in Samba AD DC LDAP Server with ASQ
  10 o CVE-2020-10704: LDAP Denial of Service (stack overflow) in Samba AD DC
  11
  12
  13 =======
  14 Details
  15 =======
  16
  17 o  CVE-2020-10700:
  18    A client combining the 'ASQ' and 'Paged Results' LDAP controls can cause a
  19    use-after-free in Samba's AD DC LDAP server.
  20 o  CVE-2020-10704:
  21    A deeply nested filter in an un-authenticated LDAP search can exhaust the
  22    LDAP server's stack memory causing a SIGSEGV.
  23
  24 For more details, please refer to the security advisories.
  25
  26
  27 Changes since 4.11.7
  28 --------------------
  29
  30 o  Andrew Bartlett <abartlet@samba.org>
  31    * BUG 14331: CVE-2020-10700: Fix use-after-free in AD DC LDAP server when
  32      ASQ and paged_results combined.
  33
  34 o  Gary Lockyer <gary@catalyst.net.nz>
  35    * BUG 20454: CVE-2020-10704: Fix LDAP Denial of Service (stack overflow) in
  36      Samba AD DC.
  37
  38
  39 #######################################
  40 Reporting bugs & Development Discussion
  41 #######################################
  42
  43 Please discuss this release on the samba-technical mailing list or by
  44 joining the #samba-technical IRC channel on irc.freenode.net.
  45
  46 If you do report problems then please try to send high quality
  47 feedback. If you don't provide vital information to help us track down
  48 the problem then you will probably be ignored.  All bug reports should
  49 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  50 database (https://bugzilla.samba.org/).
  51
  52
  53 ======================================================================
  54 == Our Code, Our Bugs, Our Responsibility.
  55 == The Samba Team
  56 ======================================================================
  57
  58
  59 Release notes for older releases follow:
  60 ----------------------------------------
  61
  62                    ==============================
  63                    Release Notes for Samba 4.11.7
  64                            March 10, 2020
  65                    ==============================
  66
  67
  68 This is the latest stable release of the Samba 4.11 release series.
  69
  70
  71 Changes since 4.11.6:
  72 ---------------------
  73
  74 o  Jeremy Allison <jra@samba.org>
  75    * BUG 14239: s3: lib: nmblib. Clean up and harden nmb packet processing.
  76    * BUG 14283: s3: VFS: full_audit. Use system session_info if called from a
  77      temporary share definition.
  78
  79 o  Andrew Bartlett <abartlet@samba.org>
  80    * BUG 14258: dsdb: Correctly handle memory in objectclass_attrs.
  81    * BUG 14270: ldb: version 2.0.9, Samba 4.11 and later give incorrect results
  82      for SCOPE_ONE searches.
  83
  84 o  Volker Lendecke <vl@samba.org>
  85    * BUG 14247: auth: Fix CIDs 1458418 and 1458420 Null pointer dereferences.
  86    * BUG 14285: smbd: Handle EINTR from open(2) properly.
  87
  88 o  Stefan Metzmacher <metze@samba.org>
  89    * BUG 14247: winbind member (source3) fails local SAM auth with empty domain
  90      name.
  91    * BUG 14265: winbindd: Handling missing idmap in getgrgid().
  92
  93 o  Andreas Schneider <asn@samba.org>
  94    * BUG 14253: lib:util: Log mkdir error on correct debug levels.
  95    * BUG 14266: wafsamba: Do not use 'rU' as the 'U' is deprecated in
  96      Python 3.9.
  97
  98 o  Martin Schwenke <martin@meltin.net>
  99    * BUG 14274: ctdb-tcp: Make error handling for outbound connection
 100      consistent.
 101
 102
 103 #######################################
 104 Reporting bugs & Development Discussion
 105 #######################################
 106
 107 Please discuss this release on the samba-technical mailing list or by
 108 joining the #samba-technical IRC channel on irc.freenode.net.
 109
 110 If you do report problems then please try to send high quality
 111 feedback. If you don't provide vital information to help us track down
 112 the problem then you will probably be ignored.  All bug reports should
 113 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 114 database (https://bugzilla.samba.org/).
 115
 116
 117 ======================================================================
 118 == Our Code, Our Bugs, Our Responsibility.
 119 == The Samba Team
 120 ======================================================================
 121
 122
 123 ----------------------------------------------------------------------
 124
 125
 126                    ==============================
 127                    Release Notes for Samba 4.11.6
 128                           January 28, 2020
 129                    ==============================
 130
 131
 132 This is the latest stable release of the Samba 4.11 release series.
 133
 134
 135 Changes since 4.11.5:
 136 ---------------------
 137
 138 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 139    * BUG 14209: pygpo: Use correct method flags.
 140
 141 o  David Disseldorp <ddiss@samba.org>
 142    * BUG 14216: vfs_ceph_snapshots: Fix root relative path handling.
 143
 144 o  Torsten Fohrer <torsten.fohrer@sbe.de>
 145    * BUG 14209: Avoiding bad call flags with python 3.8, using METH_NOARGS
 146      instead of zero.
 147
 148 o  Fabrice Fontaine <fontaine.fabrice@gmail.com>
 149    * BUG 14218: source4/utils/oLschema2ldif: Include stdint.h before cmocka.h.
 150
 151 o  Björn Jacke <bjacke@samba.org>
 152    * BUG 14122: docs-xml/winbindnssinfo: Clarify interaction with idmap_ad etc.
 153
 154 o  Volker Lendecke <vl@samba.org>
 155    * BUG 14251: smbd: Fix the build with clang.
 156
 157 o  Gary Lockyer <gary@catalyst.net.nz>
 158    * BUG 14199: upgradedns: Ensure lmdb lock files linked.
 159
 160 o  Anoop C S <anoopcs@redhat.com>
 161    * BUG 14182: s3: VFS: glusterfs: Reset nlinks for symlink entries during
 162      readdir.
 163
 164 o  Andreas Schneider <asn@samba.org>
 165    * BUG 14101: smbc_stat() doesn't return the correct st_mode and also the
 166      uid/gid is not filled (SMBv1) file.
 167    * BUG 14219: librpc: Fix string length checking in
 168      ndr_pull_charset_to_null().
 169
 170 o  Martin Schwenke <martin@meltin.net>
 171    * BUG 14227: ctdb-scripts: Strip square brackets when gathering connection
 172      info.
 173
 174
 175 #######################################
 176 Reporting bugs & Development Discussion
 177 #######################################
 178
 179 Please discuss this release on the samba-technical mailing list or by
 180 joining the #samba-technical IRC channel on irc.freenode.net.
 181
 182 If you do report problems then please try to send high quality
 183 feedback. If you don't provide vital information to help us track down
 184 the problem then you will probably be ignored.  All bug reports should
 185 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 186 database (https://bugzilla.samba.org/).
 187
 188
 189 ======================================================================
 190 == Our Code, Our Bugs, Our Responsibility.
 191 == The Samba Team
 192 ======================================================================
 193
 194
 195 ----------------------------------------------------------------------
 196
 197
 198                    ==============================
 199                    Release Notes for Samba 4.11.5
 200                           January 21, 2020
 201                    ==============================
 202
 203
 204 This is a security release in order to address the following defects:
 205
 206 o CVE-2019-14902: Replication of ACLs set to inherit down a subtree on AD
 207                   Directory not automatic.
 208 o CVE-2019-14907: Crash after failed character conversion at log level 3 or
 209                   above.
 210 o CVE-2019-19344: Use after free during DNS zone scavenging in Samba AD DC.
 211
 212
 213 =======
 214 Details
 215 =======
 216
 217 o  CVE-2019-14902:
 218    The implementation of ACL inheritance in the Samba AD DC was not complete,
 219    and so absent a 'full-sync' replication, ACLs could get out of sync between
 220    domain controllers.
 221
 222 o  CVE-2019-14907:
 223    When processing untrusted string input Samba can read past the end of the
 224    allocated buffer when printing a "Conversion error" message to the logs.
 225
 226 o  CVE-2019-19344:
 227    During DNS zone scavenging (of expired dynamic entries) there is a read of
 228    memory after it has been freed.
 229
 230 For more details and workarounds, please refer to the security advisories.
 231
 232
 233 Changes since 4.11.4:
 234 ---------------------
 235
 236 o  Andrew Bartlett <abartlet@samba.org>
 237    * BUG 12497: CVE-2019-14902: Replication of ACLs down subtree on AD Directory
 238      not automatic.
 239    * BUG 14208: CVE-2019-14907: lib/util: Do not print the failed to convert
 240      string into the logs.
 241
 242 o  Gary Lockyer <gary@catalyst.net.nz>
 243    * BUG 14050: CVE-2019-19344: kcc dns scavenging: Fix use after free in
 244      dns_tombstone_records_zone.
 245
 246
 247 #######################################
 248 Reporting bugs & Development Discussion
 249 #######################################
 250
 251 Please discuss this release on the samba-technical mailing list or by
 252 joining the #samba-technical IRC channel on irc.freenode.net.
 253
 254 If you do report problems then please try to send high quality
 255 feedback. If you don't provide vital information to help us track down
 256 the problem then you will probably be ignored.  All bug reports should
 257 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 258 database (https://bugzilla.samba.org/).
 259
 260
 261 ======================================================================
 262 == Our Code, Our Bugs, Our Responsibility.
 263 == The Samba Team
 264 ======================================================================
 265
 266
 267 ----------------------------------------------------------------------
 268
 269
 270                    ==============================
 271                    Release Notes for Samba 4.11.4
 272                           December 16, 2019
 273                    ==============================
 274
 275
 276 This is the latest stable release of the Samba 4.11 release series.
 277
 278
 279 Changes since 4.11.3:
 280 ---------------------
 281
 282 o  Jeremy Allison <jra@samba.org>
 283    * BUG 14161: s3: libsmb: Ensure SMB1 cli_qpathinfo2() doesn't return an inode
 284      number.
 285    * BUG 14174: s3: utils: smbtree. Ensure we don't call cli_RNetShareEnum()
 286      on an SMB1 connection.
 287    * BUG 14176: NT_STATUS_ACCESS_DENIED becomes EINVAL when using SMB2 in
 288      SMBC_opendir_ctx.
 289    * BUG 14189: s3: smbd: SMB2 - Ensure we use the correct session_id if
 290      encrypting an interim response.
 291    * BUG 14205: Prevent smbd crash after invalid SMB1 negprot.
 292
 293 o  Ralph Boehme <slow@samba.org>
 294    * BUG 13745: s3:printing: Fix %J substition.
 295    * BUG 13925: s3: Remove now unneeded call to cmdline_messaging_context().
 296    * BUG 14069: Incomplete conversion of former parametric options.
 297    * BUG 14070: Fix sync dosmode fallback in async dosmode codepath.
 298    * BUG 14171: vfs_fruit returns capped resource fork length.
 299
 300 o  Isaac Boukris <iboukris@gmail.com>
 301    * BUG 14116: libnet_join: Add SPNs for additional-dns-hostnames entries.
 302
 303 o  Volker Lendecke <vl@samba.org>
 304    * BUG 14211: smbd: Increase a debug level.
 305
 306 o  Stefan Metzmacher <metze@samba.org>
 307    * BUG 14153: Prevent azure ad connect from reporting discovery errors:
 308      reference-value-not-ldap-conformant.
 309
 310 o  Christof Schmitt <cs@samba.org>
 311    * BUG 14179: krb5_plugin: Fix developer build with newer heimdal system
 312      library.
 313
 314 o  Andreas Schneider <asn@samba.org>
 315    * BUG 14168: replace: Only link libnsl and libsocket if requrired.
 316
 317 o  Martin Schwenke <martin@meltin.net>
 318    * BUG 14175: ctdb: Incoming queue can be orphaned causing communication
 319      breakdown.
 320
 321 o  Uri Simchoni <uri@samba.org>
 322    * BUG 13846: ldb: Release ldb 2.0.8. Cross-compile will not take
 323      cross-answers or cross-execute.
 324    * BUG 13856: heimdal-build: Avoid hard-coded /usr/include/heimdal in
 325      asn1_compile-generated code.
 326
 327
 328 #######################################
 329 Reporting bugs & Development Discussion
 330 #######################################
 331
 332 Please discuss this release on the samba-technical mailing list or by
 333 joining the #samba-technical IRC channel on irc.freenode.net.
 334
 335 If you do report problems then please try to send high quality
 336 feedback. If you don't provide vital information to help us track down
 337 the problem then you will probably be ignored.  All bug reports should
 338 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 339 database (https://bugzilla.samba.org/).
 340
 341
 342 ======================================================================
 343 == Our Code, Our Bugs, Our Responsibility.
 344 == The Samba Team
 345 ======================================================================
 346
 347
 348 ----------------------------------------------------------------------
 349
 350
 351                    ==============================
 352                    Release Notes for Samba 4.11.3
 353                           December 10, 2019
 354                    ==============================
 355
 356
 357 This is a security release in order to address the following defects:
 358
 359 o CVE-2019-14861: Samba AD DC zone-named record Denial of Service in DNS
 360                   management server (dnsserver).
 361 o CVE-2019-14870: DelegationNotAllowed not being enforced in protocol transition
 362                   on Samba AD DC.
 363
 364
 365 =======
 366 Details
 367 =======
 368
 369 o  CVE-2019-14861:
 370    An authenticated user can crash the DCE/RPC DNS management server by creating
 371    records with matching the zone name.
 372
 373 o  CVE-2019-14870:
 374    The DelegationNotAllowed Kerberos feature restriction was not being applied
 375    when processing protocol transition requests (S4U2Self), in the AD DC KDC.
 376
 377 For more details and workarounds, please refer to the security advisories.
 378
 379
 380 Changes since 4.11.2:
 381 ---------------------
 382
 383 o  Andrew Bartlett <abartlet@samba.org>
 384    * BUG 14138: CVE-2019-14861: Fix DNSServer RPC server crash.
 385
 386 o  Isaac Boukris <iboukris@gmail.com>
 387    * BUG 14187: CVE-2019-14870: DelegationNotAllowed not being enforced.
 388
 389
 390 #######################################
 391 Reporting bugs & Development Discussion
 392 #######################################
 393
 394 Please discuss this release on the samba-technical mailing list or by
 395 joining the #samba-technical IRC channel on irc.freenode.net.
 396
 397 If you do report problems then please try to send high quality
 398 feedback. If you don't provide vital information to help us track down
 399 the problem then you will probably be ignored.  All bug reports should
 400 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 401 database (https://bugzilla.samba.org/).
 402
 403
 404 ======================================================================
 405 == Our Code, Our Bugs, Our Responsibility.
 406 == The Samba Team
 407 ======================================================================
 408
 409
 410 ----------------------------------------------------------------------
 411
 412
 413                    ==============================
 414                    Release Notes for Samba 4.11.2
 415                           October 29, 2019
 416                    ==============================
 417
 418
 419 This is a security release in order to address the following defects:
 420
 421 o CVE-2019-10218: Client code can return filenames containing path separators.
 422 o CVE-2019-14833: Samba AD DC check password script does not receive the full
 423                   password.
 424 o CVE-2019-14847: User with "get changes" permission can crash AD DC LDAP server
 425                   via dirsync.
 426
 427 =======
 428 Details
 429 =======
 430
 431 o  CVE-2019-10218:
 432    Malicious servers can cause Samba client code to return filenames containing
 433    path separators to calling code.
 434
 435 o  CVE-2019-14833:
 436    When the password contains multi-byte (non-ASCII) characters, the check
 437    password script does not receive the full password string.
 438
 439 o  CVE-2019-14847:
 440    Users with the "get changes" extended access right can crash the AD DC LDAP
 441    server by requesting an attribute using the range= syntax.
 442
 443 For more details and workarounds, please refer to the security advisories.
 444
 445
 446 Changes since 4.11.1:
 447 ---------------------
 448
 449 o  Jeremy Allison <jra@samba.org>
 450    * BUG 14071: CVE-2019-10218 - s3: libsmb: Protect SMB1 and SMB2 client code
 451      from evil server returned names.
 452
 453 o  Andrew Bartlett <abartlet@samba.org>
 454    * BUG 12438: CVE-2019-14833: Use utf8 characters in the unacceptable
 455      password.
 456    * BUG 14040: CVE-2019-14847 dsdb: Correct behaviour of ranged_results when
 457      combined with dirsync.
 458
 459 o  Björn Baumbach <bb@sernet.de>
 460    * BUG 12438: CVE-2019-14833 dsdb: Send full password to check password
 461      script.
 462
 463
 464 #######################################
 465 Reporting bugs & Development Discussion
 466 #######################################
 467
 468 Please discuss this release on the samba-technical mailing list or by
 469 joining the #samba-technical IRC channel on irc.freenode.net.
 470
 471 If you do report problems then please try to send high quality
 472 feedback. If you don't provide vital information to help us track down
 473 the problem then you will probably be ignored.  All bug reports should
 474 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 475 database (https://bugzilla.samba.org/).
 476
 477
 478 ======================================================================
 479 == Our Code, Our Bugs, Our Responsibility.
 480 == The Samba Team
 481 ======================================================================
 482
 483
 484 ----------------------------------------------------------------------
 485
 486
 487                    ==============================
 488                    Release Notes for Samba 4.11.1
 489                           October 18, 2019
 490                    ==============================
 491
 492
 493 This is the latest stable release of the Samba 4.11 release series.
 494
 495
 496 Changes since 4.11.0:
 497 ---------------------
 498
 499 o  Michael Adam <obnox@samba.org>
 500    * BUG 14141: getpwnam and getpwuid need to return data for ID_TYPE_BOTH
 501      group.
 502
 503 o  Jeremy Allison <jra@samba.org>
 504    * BUG 14094: smbc_readdirplus() is incompatible with smbc_telldir() and
 505      smbc_lseekdir().
 506    * BUG 14152: s3: smbclient: Stop an SMB2-connection from blundering into
 507      SMB1-specific calls.
 508
 509 o  Ralph Boehme <slow@samba.org>
 510    * BUG 14137: Fix stale file handle error when using mkstemp on a share.
 511
 512 o  Isaac Boukris <iboukris@gmail.com>
 513    * BUG 14106: Fix spnego fallback from kerberos to ntlmssp in smbd server.
 514    * BUG 14140: Overlinking libreplace against librt and pthread against every
 515      binary or library causes issues.
 516
 517 o  Günther Deschner <gd@samba.org>
 518    * BUG 14130: s3-winbindd: Fix forest trusts with additional trust attributes.
 519    * BUG 14134: auth/gensec: Fix non-AES schannel seal.
 520
 521 o  Amitay Isaacs <amitay@gmail.com>
 522    * BUG 14147: Deleted records can be resurrected during recovery.
 523
 524 o  Björn Jacke <bj@sernet.de>
 525    * BUG 14136: Fix uncaught exception in classicupgrade.
 526    * BUG 14139: fault.c: Improve fault_report message text pointing to our wiki.
 527
 528 o  Bryan Mason <bmason@redhat.com>
 529    * BUG 14128: s3:client: Use DEVICE_URI, instead of argv[0], for Device URI.
 530
 531 o  Stefan Metzmacher <metze@samba.org>
 532    * BUG 14124: pam_winbind with krb5_auth or wbinfo -K doesn't work for users
 533      of trusted domains/forests.
 534
 535 o  Mathieu Parent <math.parent@gmail.com>
 536    * BUG 14131: Remove 'pod2man' as it is no longer needed.
 537
 538 o  Andreas Schneider <asn@samba.org>
 539    * BUG 13884: Joining Active Directory should not use SAMR to set the
 540      password.
 541    * BUG 14140: Overlinking libreplace against librt and pthread against every
 542      binary or library causes issues.
 543    * BUG 14155: 'kpasswd' fails when built with MIT Kerberos.
 544
 545 o  Martin Schwenke <martin@meltin.net>
 546    * BUG 14129: Exit code of ctdb nodestatus should not be influenced by deleted
 547      nodes.
 548
 549
 550 #######################################
 551 Reporting bugs & Development Discussion
 552 #######################################
 553
 554 Please discuss this release on the samba-technical mailing list or by
 555 joining the #samba-technical IRC channel on irc.freenode.net.
 556
 557 If you do report problems then please try to send high quality
 558 feedback. If you don't provide vital information to help us track down
 559 the problem then you will probably be ignored.  All bug reports should
 560 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 561 database (https://bugzilla.samba.org/).
 562
 563
 564 ======================================================================
 565 == Our Code, Our Bugs, Our Responsibility.
 566 == The Samba Team
 567 ======================================================================
 568
 569
 570 ----------------------------------------------------------------------
 571
 572
 573                    ==============================
 574                    Release Notes for Samba 4.11.0
 575                          September 17, 2019
 576                    ==============================
 577
 578
 579 This is the first stable release of the Samba 4.11 release series.
 580 Please read the release notes carefully before upgrading.
 581
 582
 583 UPGRADING
 584 =========
 585
 586 AD Database compatibility
 587 -------------------------
 588
 589 Samba 4.11 has changed how the AD database is stored on disk. AD users should
 590 not really be affected by this change when upgrading to 4.11. However, AD
 591 users should be extremely careful if they need to downgrade from Samba 4.11 to
 592 an older release.
 593
 594 Samba 4.11 maintains database compatibility with older Samba releases. The
 595 database will automatically get rewritten in the new 4.11 format when you
 596 first start the upgraded samba executable.
 597
 598 However, when downgrading from 4.11 you will need to manually downgrade the AD
 599 database yourself. Note that you will need to do this step before you install
 600 the downgraded Samba packages. For more details, see:
 601 https://wiki.samba.org/index.php/Downgrading_an_Active_Directory_DC
 602
 603 When either upgrading or downgrading, users should also avoid making any
 604 database modifications between installing the new Samba packages and starting
 605 the samba executable.
 606
 607 SMB1 is disabled by default
 608 ---------------------------
 609
 610 The defaults of 'client min protocol' and 'server min protocol'
 611 have been changed to SMB2_02.
 612
 613 This means clients without support for SMB2 or SMB3 are no longer
 614 able to connect to smbd (by default).
 615
 616 It also means client tools like smbclient and other,
 617 as well as applications making use of libsmbclient are no longer
 618 able to connect to servers without SMB2 or SMB3 support (by default).
 619
 620 It's still possible to allow SMB1 dialects, e.g. NT1, LANMAN2
 621 and LANMAN1 for client and server, as well as CORE and COREPLUS on
 622 the client.
 623
 624 Note that most commandline tools e.g. smbclient, smbcacls and others
 625 also support the '--option' argument to overwrite smb.conf options,
 626 e.g. --option='client min protocol=NT1' might be useful.
 627
 628 As Microsoft no longer installs SMB1 support in recent releases
 629 or uninstalls it after 30 days without usage, the Samba Team
 630 tries to get remove the SMB1 usage as much as possible.
 631
 632 SMB1 is officially deprecated and might be removed step by step
 633 in the following years. If you have a strong requirement for SMB1
 634 (except for supporting old Linux Kernels), please file a bug
 635 at https://bugzilla.samba.org and let us know about the details.
 636
 637 LanMan and plaintext authentication deprecated
 638 ----------------------------------------------
 639
 640 The "lanman auth" and "encrypt passwords" parameters are deprecated
 641 with this release as both are only applicable to SMB1 and are quite
 642 insecure.  NTLM, NTLMv2 and Kerberos authentication are unaffected, as
 643 "encrypt passwords = yes" has been the default since Samba 3.0.0.
 644
 645 If you have a strong requirement for these authentication protocols,
 646 please file a bug at https://bugzilla.samba.org and let us know about
 647 the details.
 648
 649 BIND9_FLATFILE deprecated
 650 -------------------------
 651
 652 The BIND9_FLATFILE DNS backend is deprecated in this release and will
 653 be removed in the future.  This was only practically useful on a single
 654 domain controller or under expert care and supervision.
 655
 656 This release therefore deprecates the "rndc command" smb.conf
 657 parameter, which is used to support this configuration.  After writing
 658 out a list of DCs permitted to make changes to the DNS Zone "rndc
 659 command" is called with reload to tell the 'named' server if a DC was
 660 added/removed to to the domain.
 661
 662
 663 NEW FEATURES/CHANGES
 664 ====================
 665
 666 Default samba process model
 667 ---------------------------
 668
 669 The default for the '--model' argument passed to the samba executable has changed
 670 from 'standard' to 'prefork'. This means a difference in the number of samba
 671 child processes that are created to handle client connections. The previous
 672 default would create a separate process for every LDAP or NETLOGON client
 673 connection. For a network with a lot of persistent client connections, this
 674 could result in significant memory overhead.  Now, with the new default of
 675 'prefork', the LDAP, NETLOGON, and KDC services will create a fixed number of
 676 worker processes at startup and share the client connections amongst these
 677 workers. The number of worker processes can be configured by the 'prefork
 678 children' setting in the smb.conf (the default is 4).
 679
 680 Authentication Logging
 681 ----------------------
 682
 683 Winbind now logs PAM_AUTH and NTLM_AUTH events, a new attribute "logonId" has
 684 been added to the Authentication JSON log messages.  This contains a random
 685 logon id that is generated for each PAM_AUTH and NTLM_AUTH request and is passed
 686 to SamLogon, linking the windbind and SamLogon requests.
 687
 688 The serviceDescription of the messages is set to "winbind", the authDescription
 689 is set to one of:
 690    "PASSDB, <command>, <pid>"
 691    "PAM_AUTH, <command>, <pid>"
 692    "NTLM_AUTH, <command>, <pid>"
 693 where:
 694    <command> is the name of the command makinmg the winbind request i.e. wbinfo
 695    <pid>     is the process id of the requesting process.
 696
 697 The version of the JSON Authentication messages has been changed from 1.1 to
 698 1.2.
 699
 700 LDAP referrals
 701 --------------
 702
 703 The scheme of returned LDAP referrals now reflects the scheme of the original
 704 request, i.e. referrals received via ldap are prefixed with "ldap://"
 705 and those over ldaps are prefixed with "ldaps://".
 706
 707 Previously all referrals were prefixed with "ldap://".
 708
 709 Bind9 logging
 710 -------------
 711
 712 It is now possible to log the duration of DNS operations performed by Bind9.
 713 This should aid future diagnosis of performance issues and could be used to
 714 monitor DNS performance. The logging is enabled by setting log level to
 715 "dns:10" in smb.conf.
 716
 717 The logs are currently human readable text only, i.e. no JSON formatted output.
 718
 719 Log lines are of the form:
 720
 721     <function>: DNS timing: result: [<result>] duration: (<duration>)
 722     zone: [<zone>] name: [<name>] data: [<data>]
 723
 724     durations are in microseconds.
 725
 726 Default schema updated to 2012_R2
 727 ---------------------------------
 728
 729 Default AD schema changed from 2008_R2 to 2012_R2.  2012_R2 functional level
 730 is not yet available.  Older schemas can be used by provisioning with the
 731 '--base-schema' argument.  Existing installations can be updated with the
 732 samba-tool command "domain schemaupgrade".
 733
 734 Samba's replication code has also been improved to handle replication
 735 with the 2012 schema (the core of this replication fix has also been
 736 backported to 4.9.11 and will be in a 4.10.x release).
 737
 738 For more about how the AD schema relates to overall Windows compatibility,
 739 please read:
 740 https://wiki.samba.org/index.php/Windows_2012_Server_compatibility
 741
 742 GnuTLS 3.2 required
 743 -------------------
 744
 745 Samba is making efforts to remove in-tree cryptographic functionality,
 746 and to instead rely on externally maintained libraries.  To this end,
 747 Samba has chosen GnuTLS as our standard cryptographic provider.
 748
 749 Samba now requires GnuTLS 3.2 to be installed (including development
 750 headers at build time) for all configurations, not just the Samba AD
 751 DC.
 752
 753 NOTE WELL: The use of GnuTLS means that Samba will honour the
 754 system-wide 'FIPS mode' (a reference to the US FIPS-140 cryptographic
 755 standard) and so will not operate in many still common situations if
 756 this system-wide parameter is in effect, as many of our protocols rely
 757 on outdated cryptography.
 758
 759 A future Samba version will mitigate this to some extent where good
 760 cryptography effectively wraps bad cryptography, but for now that above
 761 applies.
 762
 763 samba-tool improvements
 764 -----------------------
 765
 766 A new "samba-tool contact" command has been added to allow the
 767 command-line manipulation of contacts, as used for address book
 768 lookups in LDAP.
 769
 770 The "samba-tool [user|group|computer|group|contact] edit" command has been
 771 improved to operate more pleasantly on international character sets.
 772
 773 100,000 USER and LARGER Samba AD DOMAINS
 774 ========================================
 775
 776 Extensive efforts have been made to optimise Samba for use in
 777 organisations (for example) targeting 100,000 users, plus 120,000
 778 computer objects, as well as large number of group memberships.
 779
 780 Many of the specific efforts are detailed below, but the net results
 781 is to remove barriers to significantly larger Samba deployments
 782 compared to previous releases.
 783
 784 Reindex performance improvements
 785 --------------------------------
 786
 787 The performance of samba-tool dbcheck --reindex has been improved,
 788 especially for large domains.
 789
 790 join performance improvements
 791 -----------------------------
 792
 793 The performance of samba-tool domain join has been improved,
 794 especially for large domains.
 795
 796 LDAP Server memory improvements
 797 -------------------------------
 798
 799 The LDAP server has improved memory efficiency, ensuring that large
 800 LDAP responses (for example a search for all objects) is not copied
 801 multiple times into memory.
 802
 803 Setting lmdb map size
 804 ---------------------
 805
 806 It is now possible to set the lmdb map size (the maximum permitted
 807 size for the database).  "samba-tool" now accepts the
 808 "--backend-store-size" i.e. --backend-store-size=4Gb.  If not
 809 specified it defaults to 8Gb.
 810
 811 This option is avaiable for the following sub commands:
 812  * domain provision
 813  * domain join
 814  * domain dcpromo
 815  * drs clone-dc-database
 816
 817 LDB "batch_mode"
 818 ----------------
 819
 820 To improve performance during batch operations i.e. joins, ldb now
 821 accepts a "batch_mode" option.  However to prevent any index or
 822 database inconsistencies if an operation fails, the entire transaction
 823 will be aborted at commit.
 824
 825 New LDB pack format
 826 -------------------
 827
 828 On first use (startup of 'samba' or the first transaction write)
 829 Samba's sam.ldb will be updated to a new more efficient pack format.
 830 This will take a few moments.
 831
 832 New LDB <= and >= index mode to improve replication performance
 833 ---------------------------------------------------------------
 834
 835 As well as a new pack format, Samba's sam.ldb uses a new index format
 836 allowing Samba to efficiently select objects changed since the last
 837 replication cycle.  This in turn improves performance during
 838 replication of large domains.
 839
 840 https://wiki.samba.org/index.php/LDB_Greater_than_and_Less_than_indexing
 841
 842 Improvements to ldb search performance
 843 --------------------------------------
 844
 845 Search performance on large LDB databases has been improved by
 846 reducing memory allocations made on each object.
 847
 848 Improvements to subtree rename performance
 849 ------------------------------------------
 850
 851 Improvements have been made to Samba's handling of subtree renames,
 852 for example of containers and organisational units, however large
 853 renames are still not recommended.
 854
 855 CTDB changes
 856 ============
 857
 858 * nfs-linux-kernel-callout now defaults to using systemd service names
 859
 860   The Red Hat service names continue to be the default.
 861
 862   Other distributions should patch this file when packaging it.
 863
 864 * The onnode -o option has been removed
 865
 866 * ctdbd logs when it is using more than 90% of a CPU thread
 867
 868   ctdbd is single threaded, so can become saturated if it uses the
 869   full capacity of a CPU thread.  To help detect this situation, ctdbd
 870   now logs messages when CPU utilisation exceeds 90%.  Each change in
 871   CPU utilisation over 90% is logged.  A message is also logged when
 872   CPU utilisation drops below the 90% threshold.
 873
 874 * Script configuration variable CTDB_MONITOR_SWAP_USAGE has been removed
 875
 876   05.system.script now monitors total memory (i.e. physical memory +
 877   swap) utilisation using the existing CTDB_MONITOR_MEMORY_USAGE
 878   script configuration variable.
 879
 880 CephFS Snapshot Integration
 881 ---------------------------
 882
 883 CephFS snapshots can now be exposed as previous file versions using the new
 884 ceph_snapshots VFS module. See the vfs_ceph_snapshots(8) man page for details.
 885
 886
 887 REMOVED FEATURES
 888 ================
 889
 890 Web server
 891 ----------
 892
 893 As a leftover from work related to the Samba Web Administration Tool (SWAT),
 894 Samba still supported a Python WSGI web server (which could still be turned on
 895 from the 'server services' smb.conf parameter). This service was unused and has
 896 now been removed from Samba.
 897
 898 samba-tool join subdomain
 899 -------------------------
 900
 901 The subdomain role has been removed from the join command.  This option did
 902 not work and has no tests.
 903
 904 Python2 support
 905 ---------------
 906
 907 Samba 4.11 will not have any runtime support for Python 2.
 908
 909 If you are building Samba using the '--disable-python' option
 910 (i.e. you're excluding all the run-time Python support), then this
 911 will continue to work on a system that supports either python2 or
 912 python3.
 913
 914 To build Samba with python2 you *must* set the 'PYTHON' environment
 915 variable for both the 'configure' and 'make' steps, i.e.
 916    'PYTHON=python2 ./configure'
 917    'PYTHON=python2 make'
 918 This will override the python3 default.
 919
 920 Except for this specific build-time use of python2, Samba now requires
 921 Python 3.4 as a minimum.
 922
 923 smb.conf changes
 924 ================
 925
 926   Parameter Name                     Description                Default
 927   --------------                     -----------                -------
 928
 929   allocation roundup size            Default changed/           0
 930                                      Deprecated
 931   client min protocol                Changed default            SMB2_02
 932   server min protocol                Changed default            SMB2_02
 933   mangled names                      Changed default            illegal
 934   web port                           Removed
 935   fruit:zero_file_id                 Changed default            False
 936   debug encryption                   New: dump encryption keys  False
 937   rndc command                       Deprecated
 938   lanman auth                        Deprecated
 939   encrypt passwords                  Deprecated
 940
 941
 942 CHANGES SINCE 4.11.0rc4
 943 =======================
 944
 945
 946 CHANGES SINCE 4.11.0rc3
 947 =======================
 948
 949 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 950    * BUG 14049: ldb: Don't try to save a value that isn't there.
 951    * ldb_dn: Free dn components on explode failure.
 952    * ldb: Do not allow adding a DN as a base to itself.
 953
 954 o  Andrew Bartlett <abartlet@samba.org>
 955    * ldb: Release ldb 2.0.7.
 956    * BUG 13695: ldb: Correct Pigeonhole principle validation in
 957      ldb_filter_attrs().
 958    * BUG 14049: Fix ldb dn crash.
 959    * BUG 14117: Deprecate "lanman auth = yes" and "encrypt passwords = no".
 960
 961 o  Ralph Boehme <slow@samba.org>
 962    * BUG 14038: Fix compiling ctdb on older systems lacking POSIX robust
 963      mutexes.
 964    * BUG 14121: smbd returns bad File-ID on filehandle used to create a file or
 965      directory.
 966
 967 o  Poornima G <pgurusid@redhat.com>
 968    * BUG 14098: vfs_glusterfs: Use pthreadpool for scheduling aio operations.
 969
 970 o  Stefan Metzmacher <metze@samba.org>
 971    * BUG 14055: Add the target server name of SMB 3.1.1 connections as a hint to
 972      load balancers or servers with "multi-tenancy" support.
 973    * BUG 14113: Fix byte range locking bugs/regressions.
 974
 975 o  Swen Schillig <swen@linux.ibm.com>
 976    * ldb: Fix mem-leak if talloc_realloc fails.
 977
 978 o  Evgeny Sinelnikov <sin@altlinux.org>
 979    * BUG 14007: Fix join with don't exists machine account.
 980
 981 o  Martin Schwenke <martin@meltin.net>
 982    * BUG 14085: ctdb-recoverd: Only check for LMASTER nodes in the VNN map.
 983
 984
 985 CHANGES SINCE 4.11.0rc2
 986 =======================
 987
 988 o  Michael Adam <obnox@samba.org>
 989    * BUG 13972: Different Device Id for GlusterFS FUSE mount is causing data
 990      loss in CTDB cluster.
 991
 992 o  Jeremy Allison <jra@samba.org>
 993    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
 994      from the share.
 995
 996 o  Andrew Bartlett <abartlet@samba.org>
 997    * BUG 14059: ldb: Release ldb 2.0.6 (log database repack so users know what
 998      is happening).
 999    * BUG 14092: docs: Deprecate "rndc command" for Samba 4.11.
1000
1001 o  Tim Beale <timbeale@catalyst.net.nz>
1002    * BUG 14059: ldb: Free memory when repacking database.
1003
1004 o  Ralph Boehme <slow@samba.org>
1005    * BUG 14089: vfs_default: Use correct flag in vfswrap_fs_file_id.
1006    * BUG 14090: vfs_glusterfs: Initialize st_ex_file_id, st_ex_itime and
1007      st_ex_iflags.
1008
1009 o  Anoop C S <anoopcs@redhat.com>
1010    * BUG 14093: vfs_glusterfs: Enable profiling for file system operations.
1011
1012 o  Aaron Haslett <aaronhaslett@catalyst.net.nz>
1013    * BUG 14059: Backport sambadowngradedatabase for v4.11.
1014
1015 o  Stefan Metzmacher <metze@samba.org>
1016    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
1017      from the share.
1018
1019 o  Christof Schmitt <cs@samba.org>
1020    * BUG 14032: vfs_gpfs: Implement special case for denying owner access to
1021      ACL.
1022
1023 o  Martin Schwenke <martin@meltin.net>
1024    * BUG 14084: Avoid marking a node as connected before it can receive packets.
1025    * BUG 14086: Fix onnode test failure with ShellCheck >= 0.4.7.
1026    * BUG 14087: ctdb-daemon: Stop "ctdb stop" from completing before freezing
1027      databases.
1028
1029
1030 KNOWN ISSUES
1031 ============
1032
1033 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.11#Release_blocking_bugs
1034
1035
1036 #######################################
1037 Reporting bugs & Development Discussion
1038 #######################################
1039
1040 Please discuss this release on the samba-technical mailing list or by
1041 joining the #samba-technical IRC channel on irc.freenode.net.
1042
1043 If you do report problems then please try to send high quality
1044 feedback. If you don't provide vital information to help us track down
1045 the problem then you will probably be ignored.  All bug reports should
1046 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1047 database (https://bugzilla.samba.org/).
1048
1049
1050 ======================================================================
1051 == Our Code, Our Bugs, Our Responsibility.
1052 == The Samba Team
1053 ======================================================================
1054