WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.17.8
   3                             May 11, 2023
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.17 release series.
   8
   9
  10 Changes since 4.17.7
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 15302: log flood: smbd_calculate_access_mask_fsp: Access denied:
  15      message level should be lower.
  16    * BUG 15306: Floating point exception (FPE) via cli_pull_send at
  17      source3/libsmb/clireadwrite.c.
  18
  19 o  Andrew Bartlett <abartlet@samba.org>
  20    * BUG 15328: test_tstream_more_tcp_user_timeout_spin fails intermittently on
  21      Rackspace GitLab runners.
  22    * BUG 15329: Reduce flapping of ridalloc test.
  23    * BUG 15351: large_ldap test is unreliable.
  24
  25 o  Ralph Boehme <slow@samba.org>
  26    * BUG 15143: New filename parser doesn't check veto files smb.conf parameter.
  27    * BUG 15354: mdssvc may crash when initializing.
  28
  29 o  Volker Lendecke <vl@samba.org>
  30    * BUG 15313: Large directory optimization broken for non-lcomp path elements.
  31    * BUG 15357: streams_depot fails to create streams.
  32    * BUG 15358: shadow_copy2 and streams_depot don't play well together.
  33    * BUG 15366: wbinfo -u fails on ad dc with >1000 users.
  34
  35 o  Stefan Metzmacher <metze@samba.org>
  36    * BUG 15317: winbindd idmap child contacts the domain controller without a
  37      need.
  38    * BUG 15318: idmap_autorid may fail to map sids of trusted domains for the
  39      first time.
  40    * BUG 15319: idmap_hash doesn't use ID_TYPE_BOTH for reverse mappings.
  41    * BUG 15323: net ads search -P doesn't work against servers in other domains.
  42    * BUG 15338: DS ACEs might be inherited to unrelated object classes.
  43    * BUG 15353: Temporary smbXsrv_tcon_global.tdb can't be parsed.
  44
  45 o  Andreas Schneider <asn@samba.org>
  46    * BUG 15360: Setting veto files = /.*/ break listing directories.
  47
  48 o  Joseph Sutton <josephsutton@catalyst.net.nz>
  49    * BUG 14810: CVE-2020-25720 [SECURITY] Create Child permission should not
  50      allow full write to all attributes (additional changes).
  51    * BUG 15329: Reduce flapping of ridalloc test.
  52
  53 o  Nathaniel W. Turner <nturner@exagrid.com>
  54    * BUG 15325: dsgetdcname: assumes local system uses IPv4.
  55
  56
  57 #######################################
  58 Reporting bugs & Development Discussion
  59 #######################################
  60
  61 Please discuss this release on the samba-technical mailing list or by
  62 joining the #samba-technical:matrix.org matrix room, or
  63 #samba-technical IRC channel on irc.libera.chat.
  64
  65 If you do report problems then please try to send high quality
  66 feedback. If you don't provide vital information to help us track down
  67 the problem then you will probably be ignored.  All bug reports should
  68 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  69 database (https://bugzilla.samba.org/).
  70
  71
  72 ======================================================================
  73 == Our Code, Our Bugs, Our Responsibility.
  74 == The Samba Team
  75 ======================================================================
  76
  77
  78 Release notes for older releases follow:
  79 ----------------------------------------
  80                    ==============================
  81                    Release Notes for Samba 4.17.7
  82                            March 29, 2023
  83                    ==============================
  84
  85
  86 This is a security release in order to address the following defects:
  87
  88 o CVE-2023-0225: An incomplete access check on dnsHostName allows authenticated
  89                  but otherwise unprivileged users to delete this attribute from
  90                  any object in the directory.
  91                  https://www.samba.org/samba/security/CVE-2023-0225.html
  92
  93 o CVE-2023-0922: The Samba AD DC administration tool, when operating against a
  94                  remote LDAP server, will by default send new or reset
  95                  passwords over a signed-only connection.
  96                  https://www.samba.org/samba/security/CVE-2023-0922.html
  97
  98 o CVE-2023-0614: The fix in 4.6.16, 4.7.9, 4.8.4 and 4.9.7 for CVE-2018-10919
  99                  Confidential attribute disclosure via LDAP filters was
 100                  insufficient and an attacker may be able to obtain
 101                  confidential BitLocker recovery keys from a Samba AD DC.
 102                  Installations with such secrets in their Samba AD should
 103                  assume they have been obtained and need replacing.
 104                  https://www.samba.org/samba/security/CVE-2023-0614.html
 105
 106
 107 Changes since 4.17.6
 108 --------------------
 109
 110 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 111    * BUG 15276: CVE-2023-0225.
 112
 113 o  Andrew Bartlett <abartlet@samba.org>
 114    * BUG 15270: CVE-2023-0614.
 115    * BUG 15331: ldb wildcard matching makes excessive allocations.
 116    * BUG 15332: large_ldap test is inefficient.
 117
 118 o  Rob van der Linde <rob@catalyst.net.nz>
 119    * BUG 15315: CVE-2023-0922.
 120
 121 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 122    * BUG 14810: CVE-2020-25720 [SECURITY] Create Child permission should not
 123      allow full write to all attributes (additional changes).
 124    * BUG 15270: CVE-2023-0614.
 125    * BUG 15276: CVE-2023-0225.
 126
 127
 128 #######################################
 129 Reporting bugs & Development Discussion
 130 #######################################
 131
 132 Please discuss this release on the samba-technical mailing list or by
 133 joining the #samba-technical:matrix.org matrix room, or
 134 #samba-technical IRC channel on irc.libera.chat.
 135
 136 If you do report problems then please try to send high quality
 137 feedback. If you don't provide vital information to help us track down
 138 the problem then you will probably be ignored.  All bug reports should
 139 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 140 database (https://bugzilla.samba.org/).
 141
 142
 143 ======================================================================
 144 == Our Code, Our Bugs, Our Responsibility.
 145 == The Samba Team
 146 ======================================================================
 147
 148
 149 ----------------------------------------------------------------------
 150                    ==============================
 151                    Release Notes for Samba 4.17.6
 152                            March 09, 2023
 153                    ==============================
 154
 155
 156 This is the latest stable release of the Samba 4.17 release series.
 157
 158
 159 Changes since 4.17.5
 160 --------------------
 161
 162 o  Jeremy Allison <jra@samba.org>
 163    * BUG 15314: streams_xattr is creating unexpected locks on folders.
 164
 165 o  Andrew Bartlett <abartlet@samba.org>
 166    * BUG 10635: Use of the Azure AD Connect cloud sync tool is now supported for
 167      password hash synchronisation, allowing Samba AD Domains to synchronise
 168      passwords with this popular cloud environment.
 169
 170 o  Ralph Boehme <slow@samba.org>
 171    * BUG 15299: Spotlight doesn't work with latest macOS Ventura.
 172
 173 o  Volker Lendecke <vl@samba.org>
 174    * BUG 15310: New samba-dcerpc architecture does not scale gracefully.
 175
 176 o  John Mulligan <jmulligan@redhat.com>
 177    * BUG 15307: vfs_ceph incorrectly uses fsp_get_io_fd() instead of
 178      fsp_get_pathref_fd() in close and fstat.
 179
 180 o  Noel Power <noel.power@suse.com>
 181    * BUG 15293: With clustering enabled samba-bgqd can core dump due to use
 182      after free.
 183
 184 o  baixiangcpp <baixiangcpp@gmail.com>
 185    * BUG 15311: fd_load() function implicitly closes the fd where it should not.
 186
 187
 188 #######################################
 189 Reporting bugs & Development Discussion
 190 #######################################
 191
 192 Please discuss this release on the samba-technical mailing list or by
 193 joining the #samba-technical:matrix.org matrix room, or
 194 #samba-technical IRC channel on irc.libera.chat.
 195
 196
 197 If you do report problems then please try to send high quality
 198 feedback. If you don't provide vital information to help us track down
 199 the problem then you will probably be ignored.  All bug reports should
 200 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 201 database (https://bugzilla.samba.org/).
 202
 203
 204 ======================================================================
 205 == Our Code, Our Bugs, Our Responsibility.
 206 == The Samba Team
 207 ======================================================================
 208
 209
 210 ----------------------------------------------------------------------
 211                    ==============================
 212                    Release Notes for Samba 4.17.5
 213                           January 26, 2023
 214                    ==============================
 215
 216
 217 This is the latest stable release of the Samba 4.17 release series.
 218
 219
 220 Changes since 4.17.4
 221 --------------------
 222
 223 o  Jeremy Allison <jra@samba.org>
 224    * BUG 14808: smbc_getxattr() return value is incorrect.
 225    * BUG 15172: Compound SMB2 FLUSH+CLOSE requests from MacOSX are not handled
 226      correctly.
 227    * BUG 15210: synthetic_pathref AFP_AfpInfo failed errors.
 228    * BUG 15226: samba-tool gpo listall fails IPv6 only - finddcs() fails to find
 229      DC when there is only an AAAA record for the DC in DNS.
 230    * BUG 15236: smbd crashes if an FSCTL request is done on a stream handle.
 231    * BUG 15277: DFS links don't work anymore on Mac clients since 4.17.
 232    * BUG 15283: vfs_virusfilter segfault on access, directory edgecase
 233      (accessing NULL value).
 234
 235 o  Samuel Cabrero <scabrero@samba.org>
 236    * BUG 15240: CVE-2022-38023 [SECURITY] Samba should refuse RC4 (aka md5)
 237      based SChannel on NETLOGON (additional changes).
 238
 239 o  Volker Lendecke <vl@samba.org>
 240    * BUG 15243: %U for include directive doesn't work for share listing
 241      (netshareenum).
 242    * BUG 15266: Shares missing from netshareenum response in samba 4.17.4.
 243    * BUG 15269: ctdb: use-after-free in run_proc.
 244
 245 o  Stefan Metzmacher <metze@samba.org>
 246    * BUG 15243: %U for include directive doesn't work for share listing
 247      (netshareenum).
 248    * BUG 15266: Shares missing from netshareenum response in samba 4.17.4.
 249    * BUG 15280: irpc_destructor may crash during shutdown.
 250    * BUG 15286: auth3_generate_session_info_pac leaks wbcAuthUserInfo.
 251
 252 o  Andreas Schneider <asn@samba.org>
 253    * BUG 15268: smbclient segfaults with use after free on an optimized build.
 254
 255 o  Jones Syue <jonessyue@qnap.com>
 256    * BUG 15282: smbstatus leaking files in msg.sock and msg.lock.
 257
 258 o  Andrew Walker <awalker@ixsystems.com>
 259    * BUG 15164: Leak in wbcCtxPingDc2.
 260    * BUG 15265: Access based share enum does not work in Samba 4.16+.
 261    * BUG 15267: Crash during share enumeration.
 262    * BUG 15271: rep_listxattr on FreeBSD does not properly check for reads off
 263      end of returned buffer.
 264
 265 o  Florian Weimer <fweimer@redhat.com>
 266    * BUG 15281: Avoid relying on C89 features in a few places.
 267
 268
 269 #######################################
 270 Reporting bugs & Development Discussion
 271 #######################################
 272
 273 Please discuss this release on the samba-technical mailing list or by
 274 joining the #samba-technical:matrix.org matrix room, or
 275 #samba-technical IRC channel on irc.libera.chat.
 276
 277
 278 If you do report problems then please try to send high quality
 279 feedback. If you don't provide vital information to help us track down
 280 the problem then you will probably be ignored.  All bug reports should
 281 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 282 database (https://bugzilla.samba.org/).
 283
 284
 285 ======================================================================
 286 == Our Code, Our Bugs, Our Responsibility.
 287 == The Samba Team
 288 ======================================================================
 289
 290
 291 ----------------------------------------------------------------------
 292                    ==============================
 293                    Release Notes for Samba 4.17.4
 294                          December 15, 2022
 295                    ==============================
 296
 297
 298 This is the latest stable release of the Samba 4.17 release series.
 299 It also contains security changes in order to address the following defects:
 300
 301
 302 o CVE-2022-37966: This is the Samba CVE for the Windows Kerberos
 303                   RC4-HMAC Elevation of Privilege Vulnerability
 304                   disclosed by Microsoft on Nov 8 2022.
 305
 306                   A Samba Active Directory DC will issue weak rc4-hmac
 307                   session keys for use between modern clients and servers
 308                   despite all modern Kerberos implementations supporting
 309                   the aes256-cts-hmac-sha1-96 cipher.
 310
 311                   On Samba Active Directory DCs and members
 312                   'kerberos encryption types = legacy' would force
 313                   rc4-hmac as a client even if the server supports
 314                   aes128-cts-hmac-sha1-96 and/or aes256-cts-hmac-sha1-96.
 315
 316                   https://www.samba.org/samba/security/CVE-2022-37966.html
 317
 318 o CVE-2022-37967: This is the Samba CVE for the Windows
 319                   Kerberos Elevation of Privilege Vulnerability
 320                   disclosed by Microsoft on Nov 8 2022.
 321
 322                   A service account with the special constrained
 323                   delegation permission could forge a more powerful
 324                   ticket than the one it was presented with.
 325
 326                   https://www.samba.org/samba/security/CVE-2022-37967.html
 327
 328 o CVE-2022-38023: The "RC4" protection of the NetLogon Secure channel uses the
 329                   same algorithms as rc4-hmac cryptography in Kerberos,
 330                   and so must also be assumed to be weak.
 331
 332                   https://www.samba.org/samba/security/CVE-2022-38023.html
 333
 334 Note that there are several important behavior changes
 335 included in this release, which may cause compatibility problems
 336 interacting with system still expecting the former behavior.
 337 Please read the advisories of CVE-2022-37966,
 338 CVE-2022-37967 and CVE-2022-38023 carefully!
 339
 340 samba-tool got a new 'domain trust modify' subcommand
 341 -----------------------------------------------------
 342
 343 This allows "msDS-SupportedEncryptionTypes" to be changed
 344 on trustedDomain objects. Even against remote DCs (including Windows)
 345 using the --local-dc-ipaddress= (and other --local-dc-* options).
 346 See 'samba-tool domain trust modify --help' for further details.
 347
 348 smb.conf changes
 349 ----------------
 350
 351   Parameter Name                               Description             Default
 352   --------------                               -----------             -------
 353   allow nt4 crypto                             Deprecated              no
 354   allow nt4 crypto:COMPUTERACCOUNT             New
 355   kdc default domain supported enctypes        New (see manpage)
 356   kdc supported enctypes                       New (see manpage)
 357   kdc force enable rc4 weak session keys       New                     No
 358   reject md5 clients                           New Default, Deprecated Yes
 359   reject md5 servers                           New Default, Deprecated Yes
 360   server schannel                              Deprecated              Yes
 361   server schannel require seal                 New, Deprecated         Yes
 362   server schannel require seal:COMPUTERACCOUNT New
 363   winbind sealed pipes                         Deprecated              Yes
 364
 365 Changes since 4.17.3
 366 --------------------
 367
 368 o  Jeremy Allison <jra@samba.org>
 369    * BUG 15224: pam_winbind uses time_t and pointers assuming they are of the
 370      same size.
 371
 372 o  Andrew Bartlett <abartlet@samba.org>
 373    * BUG 14929: CVE-2022-44640 [SECURITY] Upstream Heimdal free of
 374      user-controlled pointer in FAST.
 375    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 376    * BUG 15237: CVE-2022-37966.
 377    * BUG 15258: filter-subunit is inefficient with large numbers of knownfails.
 378
 379 o  Ralph Boehme <slow@samba.org>
 380    * BUG 15240: CVE-2022-38023.
 381    * BUG 15252: smbd allows setting FILE_ATTRIBUTE_TEMPORARY on directories.
 382
 383 o  Stefan Metzmacher <metze@samba.org>
 384    * BUG 13135: The KDC logic arround msDs-supportedEncryptionTypes differs from
 385      Windows.
 386    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 387      atomically.
 388    * BUG 15203: CVE-2022-42898 [SECURITY] krb5_pac_parse() buffer parsing
 389      vulnerability.
 390    * BUG 15206: libnet: change_password() doesn't work with
 391      dcerpc_samr_ChangePasswordUser4().
 392    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 393    * BUG 15230: Memory leak in snprintf replacement functions.
 394    * BUG 15237: CVE-2022-37966.
 395    * BUG 15240: CVE-2022-38023.
 396    * BUG 15253: RODC doesn't reset badPwdCount reliable via an RWDC
 397      (CVE-2021-20251 regression).
 398
 399 o  Noel Power <noel.power@suse.com>
 400    * BUG 15224: pam_winbind uses time_t and pointers assuming they are of the
 401      same size.
 402
 403 o  Anoop C S <anoopcs@samba.org>
 404    * BUG 15198: Prevent EBADF errors with vfs_glusterfs.
 405
 406 o  Andreas Schneider <asn@samba.org>
 407    * BUG 15237: CVE-2022-37966.
 408    * BUG 15243: %U for include directive doesn't work for share listing
 409      (netshareenum).
 410    * BUG 15257: Stack smashing in net offlinejoin requestodj.
 411
 412 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 413    * BUG 15197: Windows 11 22H2 and Samba-AD 4.15 Kerberos login issue.
 414    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 415    * BUG 15231: CVE-2022-37967.
 416    * BUG 15237: CVE-2022-37966.
 417
 418 o  Nicolas Williams <nico@twosigma.com>
 419    * BUG 14929: CVE-2022-44640 [SECURITY] Upstream Heimdal free of
 420      user-controlled pointer in FAST.
 421
 422
 423
 424 #######################################
 425 Reporting bugs & Development Discussion
 426 #######################################
 427
 428 Please discuss this release on the samba-technical mailing list or by
 429 joining the #samba-technical:matrix.org matrix room, or
 430 #samba-technical IRC channel on irc.libera.chat.
 431
 432
 433 If you do report problems then please try to send high quality
 434 feedback. If you don't provide vital information to help us track down
 435 the problem then you will probably be ignored.  All bug reports should
 436 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 437 database (https://bugzilla.samba.org/).
 438
 439
 440 ======================================================================
 441 == Our Code, Our Bugs, Our Responsibility.
 442 == The Samba Team
 443 ======================================================================
 444
 445
 446 ----------------------------------------------------------------------
 447                    ==============================
 448                    Release Notes for Samba 4.17.3
 449                          November 15, 2022
 450                    ==============================
 451
 452
 453 This is a security release in order to address the following defects:
 454
 455
 456 o CVE-2022-42898: Samba's Kerberos libraries and AD DC failed to guard against
 457                   integer overflows when parsing a PAC on a 32-bit system, which
 458                   allowed an attacker with a forged PAC to corrupt the heap.
 459                   https://www.samba.org/samba/security/CVE-2022-42898.html
 460
 461 Changes since 4.17.2
 462 --------------------
 463 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 464    * BUG 15203: CVE-2022-42898
 465
 466 o  Nicolas Williams <nico@twosigma.com>
 467    * BUG 15203: CVE-2022-42898
 468
 469
 470 #######################################
 471 Reporting bugs & Development Discussion
 472 #######################################
 473
 474 Please discuss this release on the samba-technical mailing list or by
 475 joining the #samba-technical:matrix.org matrix room, or
 476 #samba-technical IRC channel on irc.libera.chat.
 477
 478
 479 If you do report problems then please try to send high quality
 480 feedback. If you don't provide vital information to help us track down
 481 the problem then you will probably be ignored.  All bug reports should
 482 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 483 database (https://bugzilla.samba.org/).
 484
 485
 486 ======================================================================
 487 == Our Code, Our Bugs, Our Responsibility.
 488 == The Samba Team
 489 ======================================================================
 490
 491
 492 ----------------------------------------------------------------------
 493                    ==============================
 494                    Release Notes for Samba 4.17.2
 495                           October 25, 2022
 496                    ==============================
 497
 498
 499 This is a security release in order to address the following defects:
 500
 501 o CVE-2022-3437:  There is a limited write heap buffer overflow in the GSSAPI
 502                   unwrap_des() and unwrap_des3() routines of Heimdal (included
 503                   in Samba).
 504                   https://www.samba.org/samba/security/CVE-2022-3437.html
 505
 506 o CVE-2022-3592:  A malicious client can use a symlink to escape the exported
 507                   directory.
 508                   https://www.samba.org/samba/security/CVE-2022-3592.html
 509
 510 Changes since 4.17.1
 511 --------------------
 512
 513 o  Volker Lendecke <vl@samba.org>
 514    * BUG 15207: CVE-2022-3592.
 515
 516 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 517    * BUG 15134: CVE-2022-3437.
 518
 519
 520 #######################################
 521 Reporting bugs & Development Discussion
 522 #######################################
 523
 524 Please discuss this release on the samba-technical mailing list or by
 525 joining the #samba-technical:matrix.org matrix room, or
 526 #samba-technical IRC channel on irc.libera.chat.
 527
 528 If you do report problems then please try to send high quality
 529 feedback. If you don't provide vital information to help us track down
 530 the problem then you will probably be ignored.  All bug reports should
 531 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 532 database (https://bugzilla.samba.org/).
 533
 534
 535 ======================================================================
 536 == Our Code, Our Bugs, Our Responsibility.
 537 == The Samba Team
 538 ======================================================================
 539
 540
 541 ----------------------------------------------------------------------
 542                    ==============================
 543                    Release Notes for Samba 4.17.1
 544                           October 19, 2022
 545                    ==============================
 546
 547
 548 This is the latest stable release of the Samba 4.17 release series.
 549
 550
 551 Changes since 4.17.0
 552 --------------------
 553
 554 o  Jeremy Allison <jra@samba.org>
 555    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 556      atomically.
 557    * BUG 15174: smbXsrv_connection_shutdown_send result leaked.
 558    * BUG 15182: Flush on a named stream never completes.
 559    * BUG 15195: Permission denied calling SMBC_getatr when file not exists.
 560
 561 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 562    * BUG 15189: Samba 4.5 sometimes cannot be upgraded to Samba 4.6 or later
 563      over DRS: WERROR_DS_DRA_MISSING_PARENT due to faulty GET_ANC.
 564    * BUG 15191: pytest: add file removal helpers for TestCaseInTempDir.
 565
 566 o  Andrew Bartlett <abartlet@samba.org>
 567    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 568      atomically.
 569    * BUG 15189: Samba 4.5 sometimes cannot be upgraded to Samba 4.6 or later.
 570      over DRS: WERROR_DS_DRA_MISSING_PARENT due to faulty GET_ANC.
 571
 572 o  Ralph Boehme <slow@samba.org>
 573    * BUG 15182: Flush on a named stream never completes.
 574
 575 o  Volker Lendecke <vl@samba.org>
 576    * BUG 15151: vfs_gpfs silently garbles timestamps > year 2106.
 577
 578 o  Gary Lockyer <gary@catalyst.net.nz>
 579    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 580      atomically.
 581
 582 o  Stefan Metzmacher <metze@samba.org>
 583    * BUG 15200: multi-channel socket passing may hit a race if one of the
 584      involved processes already existed.
 585    * BUG 15201: memory leak on temporary of struct imessaging_post_state and
 586      struct tevent_immediate on struct imessaging_context (in
 587      rpcd_spoolss and maybe others).
 588
 589 o  Noel Power <noel.power@suse.com>
 590    * BUG 15205: Since popt1.19 various use after free errors using result of
 591      poptGetArg are now exposed.
 592
 593 o  Anoop C S <anoopcs@samba.org>
 594    * BUG 15192: Remove special case for O_CREAT in SMB_VFS_OPENAT from
 595      vfs_glusterfs.
 596
 597 o  Andreas Schneider <asn@samba.org>
 598    * BUG 15169: GETPWSID in memory cache grows indefinetly with each NTLM auth.
 599
 600 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 601    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 602      atomically.
 603
 604
 605 #######################################
 606 Reporting bugs & Development Discussion
 607 #######################################
 608
 609 Please discuss this release on the samba-technical mailing list or by
 610 joining the #samba-technical:matrix.org matrix room, or
 611 #samba-technical IRC channel on irc.libera.chat.
 612
 613
 614 If you do report problems then please try to send high quality
 615 feedback. If you don't provide vital information to help us track down
 616 the problem then you will probably be ignored.  All bug reports should
 617 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 618 database (https://bugzilla.samba.org/).
 619
 620
 621 ======================================================================
 622 == Our Code, Our Bugs, Our Responsibility.
 623 == The Samba Team
 624 ======================================================================
 625
 626
 627 ----------------------------------------------------------------------
 628                    ==============================
 629                    Release Notes for Samba 4.17.0
 630                          September 13, 2022
 631                    ==============================
 632
 633
 634 This is the first stable release of the Samba 4.17 release series.
 635 Please read the release notes carefully before upgrading.
 636
 637
 638 NEW FEATURES/CHANGES
 639 ====================
 640
 641 SMB Server performance improvements
 642 -----------------------------------
 643
 644 The security improvements in recent releases
 645 (4.13, 4.14, 4.15, 4.16), mainly as protection against symlink races,
 646 caused performance regressions for meta data heavy workloads.
 647
 648 With 4.17 the situation improved a lot again:
 649
 650 - Pathnames given by a client are devided into dirname and basename.
 651   The amount of syscalls to validate dirnames is reduced to 2 syscalls
 652   (openat, close) per component. On modern Linux kernels (>= 5.6) smbd
 653   makes use of the openat2() syscall with RESOLVE_NO_SYMLINKS,
 654   in order to just use 2 syscalls (openat2, close) for the whole dirname.
 655
 656 - Contended path based operations used to generate a lot of unsolicited
 657   wakeup events causing thundering herd problems, which lead to masive
 658   latencies for some clients. These events are now avoided in order
 659   to provide stable latencies and much higher throughput of open/close
 660   operations.
 661
 662 Configure without the SMB1 Server
 663 ---------------------------------
 664
 665 It is now possible to configure Samba without support for
 666 the SMB1 protocol in smbd. This can be selected at configure
 667 time with either of the options:
 668
 669 --with-smb1-server
 670 --without-smb1-server
 671
 672 By default (without either of these options set) Samba
 673 is configured to include SMB1 support (i.e. --with-smb1-server
 674 is the default). When Samba is configured without SMB1 support,
 675 none of the SMB1 code is included inside smbd except the minimal
 676 stub code needed to allow a client to connect as SMB1 and immediately
 677 negotiate the selected protocol into SMB2 (as a Windows server also
 678 allows).
 679
 680 None of the SMB1-only smb.conf parameters are removed when
 681 configured without SMB1, but these parameters are ignored by
 682 the smbd server. This allows deployment without having to change
 683 an existing smb.conf file.
 684
 685 This option allows sites, OEMs and integrators to configure Samba
 686 to remove the old and insecure SMB1 protocol from their products.
 687
 688 Note that the Samba client libraries still support SMB1 connections
 689 even when Samba is configured as --without-smb1-server. This is
 690 to ensure maximum compatibility with environments containing old
 691 SMB1 servers.
 692
 693 Bronze bit and S4U support now also with MIT Kerberos 1.20
 694 ----------------------------------------------------------
 695
 696 In 2020 Microsoft Security Response Team received another Kerberos-related
 697 report. Eventually, that led to a security update of the CVE-2020-17049,
 698 Kerberos KDC Security Feature Bypass Vulnerability, also known as a ‘Bronze
 699 Bit’. With this vulnerability, a compromised service that is configured to use
 700 Kerberos constrained delegation feature could tamper with a service ticket that
 701 is not valid for delegation to force the KDC to accept it.
 702
 703 With the release of MIT Kerberos 1.20, Samba AD DC is able able to mitigate the
 704 ‘Bronze Bit’ attack. MIT Kerberos KDC's KDB (Kerberos Database Driver) API was
 705 changed to allow passing more details between KDC and KDB components. When built
 706 against MIT Kerberos, Samba AD DC supports MIT Kerberos 1.19 and 1.20 versions
 707 but 'Bronze Bit' mitigation is provided only with MIT Kerberos 1.20.
 708
 709 In addition to fixing the ‘Bronze Bit’ issue, Samba AD DC now fully supports
 710 S4U2Self and S4U2Proxy Kerberos extensions.
 711
 712 Note the default (Heimdal-based) KDC was already fixed in 2021,
 713 see https://bugzilla.samba.org/show_bug.cgi?id=14642
 714
 715 Resource Based Constrained Delegation (RBCD) support
 716 ----------------------------------------------------
 717
 718 Samba AD DC built with MIT Kerberos 1.20 offers RBCD support now. With MIT
 719 Kerberos 1.20 we have complete RBCD support passing Sambas S4U testsuite.
 720
 721 samba-tool delegation got the 'add-principal' and 'del-principal' subcommands
 722 in order to manage RBCD.
 723
 724 To complete RBCD support and make it useful to Administrators we added the
 725 Asserted Identity [1] SID into the PAC for constrained delegation. This is
 726 available for Samba AD compiled with MIT Kerberos 1.20.
 727
 728 Note the default (Heimdal-based) KDC does not support RBCD yet.
 729
 730 [1] https://docs.microsoft.com/en-us/windows-server/security/kerberos/kerberos-constrained-delegation-overview
 731
 732 Customizable DNS listening port
 733 -------------------------------
 734
 735 It is now possible to set a custom listening port for the builtin DNS service,
 736 making easy to host another DNS on the same system that would bind to the
 737 default port and forward the domain-specific queries to Samba using the custom
 738 port. This is the opposite configuration of setting a forwarder in Samba.
 739
 740 It makes possible to use another DNS server as a front and forward to Samba.
 741
 742 Dynamic DNS updates may not be proxied by the front DNS server when forwarding
 743 to Samba. Dynamic DNS update proxying depends on the features of the other DNS
 744 server used as a front.
 745
 746 CTDB changes
 747 ------------
 748
 749 * When Samba is configured with both --with-cluster-support and
 750   --systemd-install-services then a systemd service file for CTDB will
 751   be installed.
 752
 753 * ctdbd_wrapper has been removed.  ctdbd is now started directly from
 754   a systemd service file or init script.
 755
 756 * The syntax for the ctdb.tunables configuration file has been
 757   relaxed.  However, trailing garbage after the value, including
 758   comments, is no longer permitted.  Please see ctdb-tunables(7) for
 759   more details.
 760
 761 Operation without the (unsalted) NT password hash
 762 -------------------------------------------------
 763
 764 When Samba is configured with 'nt hash store = never' then Samba will
 765 no longer store the (unsalted) NT password hash for users in Active
 766 Directory.  (Trust accounts, like computers, domain controllers and
 767 inter-domain trusts are not impacted).
 768
 769 In the next version of Samba the default for 'nt hash store' will
 770 change from 'always' to 'auto', where it will follow (behave as 'nt
 771 hash store = never' when 'ntlm auth = disabled' is set.
 772
 773 Security-focused deployments of Samba that have eliminated NTLM from
 774 their networks will find setting 'ntlm auth = disabled' with 'nt hash
 775 store = always' as a useful way to improve compliance with
 776 best-practice guidance on password storage (which is to always use an
 777 interated hash).
 778
 779 Note that when 'nt hash store = never' is set, then arcfour-hmac-md5
 780 Kerberos keys will not be available for users who subsequently change
 781 their password, as these keys derive their values from NT hashes.  AES
 782 keys are stored by default for all deployments of Samba with Domain
 783 Functional Level 2008 or later, are supported by all modern clients,
 784 and are much more secure.
 785
 786 Finally, also note that password history in Active Directory is stored
 787 in nTPwdHistory using a series of NT hash values.  Therefore the full
 788 password history feature is not available in this mode.
 789
 790 To provide some protection against password re-use previous Kerberos
 791 hash values (the current, old and older values are already stored) are
 792 used, providing a history length of 3.
 793
 794 There is one small limitation of this workaround: Changing the
 795 sAMAccountName, userAccountControl or userPrincipalName of an account
 796 can cause the Kerberos password salt to change.  This means that after
 797 *both* an account rename and a password change, only the current
 798 password will be recognised for password history purposes.
 799
 800 Python API for smbconf
 801 ----------------------
 802
 803 Samba's smbconf library provides a generic frontend to various
 804 configuration backends (plain text file, registry) as a C library. A
 805 new Python wrapper, importable as 'samba.smbconf' is available.  An
 806 additional module, 'samba.samba3.smbconf', is also available to enable
 807 registry backend support. These libraries allow Python programs to
 808 read, and optionally write, Samba configuration natively.
 809
 810 JSON support for smbstatus
 811 --------------------------
 812
 813 It is now possible to print detailed information in JSON format in
 814 the smbstatus program using the new option --json. The JSON output
 815 covers all the existing text output including sessions, connections,
 816 open files, byte-range locks, notifies and profile data with all
 817 low-level information maintained by Samba in the respective databases.
 818
 819 Protected Users security group
 820 ------------------------------
 821
 822 Samba AD DC now includes support for the Protected Users security
 823 group introduced in Windows Server 2012 R2. The feature reduces the
 824 attack surface of user accounts by preventing the use of weak
 825 encryption types. It also mitigates the effects of credential theft by
 826 limiting credential lifetime and scope.
 827
 828 The protections are intended for user accounts only, and service or
 829 computer accounts should not be added to the Protected Users
 830 group. User accounts added to the group are granted the following
 831 security protections:
 832
 833    * NTLM authentication is disabled.
 834    * Kerberos ticket-granting tickets (TGTs) encrypted with RC4 are
 835      not issued to or accepted from affected principals. Tickets
 836      encrypted with AES, and service tickets encrypted with RC4, are
 837      not affected by this restriction.
 838    * The lifetime of Kerberos TGTs is restricted to a maximum of four
 839      hours.
 840    * Kerberos constrained and unconstrained delegation is disabled.
 841
 842 If the Protected Users group is not already present in the domain, it
 843 can be created with 'samba-tool group add'. The new '--special'
 844 parameter must be specified, with 'Protected Users' as the name of the
 845 group. An example command invocation is:
 846
 847 samba-tool group add 'Protected Users' --special
 848
 849 or against a remote server:
 850
 851 samba-tool group add 'Protected Users' --special -H ldap://dc1.example.com -U Administrator
 852
 853 The Protected Users group is identified in the domain by its having a
 854 RID of 525. Thus, it should only be created with samba-tool and the
 855 '--special' parameter, as above, so that it has the required RID
 856 to function correctly.
 857
 858
 859 REMOVED FEATURES
 860 ================
 861
 862 LanMan Authentication and password storage removed from the AD DC
 863 -----------------------------------------------------------------
 864
 865 The storage and authentication with LanMan passwords has been entirely
 866 removed from the Samba AD DC, even when "lanman auth = yes" is set.
 867
 868
 869 smb.conf changes
 870 ================
 871
 872   Parameter Name                          Description     Default
 873   --------------                          -----------     -------
 874   dns port                                New default     53
 875   fruit:zero_file_id                      New default     yes
 876   nt hash store                           New parameter   always
 877   smb1 unix extensions                    Replaces "unix extensions"
 878   volume serial number                    New parameter   -1
 879   winbind debug traceid                   New parameter   no
 880
 881
 882 CHANGES SINCE 4.17.0rc4
 883 =======================
 884
 885 o  Ralph Boehme <slow@samba.org>
 886    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 887      permissions instead of ACL from xattr.
 888    * BUG 15153: Missing SMB2-GETINFO access checks from MS-SMB2 3.3.5.20.1.
 889    * BUG 15161: assert failed: !is_named_stream(smb_fname)") at
 890      ../../lib/util/fault.c:197.
 891
 892 o  Volker Lendecke <vl@samba.org>
 893    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 894      permissions instead of ACL from xattr.
 895    * BUG 15161: assert failed: !is_named_stream(smb_fname)") at
 896      ../../lib/util/fault.c:197.
 897
 898 o  Stefan Metzmacher <metze@samba.org>
 899    * BUG 15159: Cross-node multi-channel reconnects result in SMB2 Negotiate
 900      returning NT_STATUS_NOT_SUPPORTED.
 901
 902 o  Noel Power <noel.power@suse.com>
 903    * BUG 15160: winbind at info level debug can coredump when processing
 904      wb_lookupusergroups.
 905
 906
 907 CHANGES SINCE 4.17.0rc3
 908 =======================
 909
 910 o  Anoop C S <anoopcs@samba.org>
 911    * BUG 15157: Make use of glfs_*at() API calls in vfs_glusterfs.
 912
 913
 914 CHANGES SINCE 4.17.0rc2
 915 =======================
 916
 917 o  Jeremy Allison <jra@samba.org>
 918    * BUG 15128: Possible use after free of connection_struct when iterating
 919      smbd_server_connection->connections.
 920
 921 o  Christian Ambach <ambi@samba.org>
 922    * BUG 15145: `net usershare add` fails with flag works with --long but fails
 923      with -l.
 924
 925 o  Ralph Boehme <slow@samba.org>
 926    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 927      permissions instead of ACL from xattr.
 928
 929 o  Stefan Metzmacher <metze@samba.org>
 930    * BUG 15125: Performance regression on contended path based operations.
 931    * BUG 15148: Missing READ_LEASE break could cause data corruption.
 932
 933 o  Andreas Schneider <asn@samba.org>
 934    * BUG 15141: libsamba-errors uses a wrong version number.
 935
 936 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 937    * BUG 15152: SMB1 negotiation can fail to handle connection errors.
 938
 939
 940 CHANGES SINCE 4.17.0rc1
 941 =======================
 942
 943 o  Jeremy Allison <jra@samba.org>
 944    * BUG 15143: New filename parser doesn't check veto files smb.conf parameter.
 945    * BUG 15144: 4.17.rc1 still uses symlink-race prone unix_convert()
 946    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 947
 948 o  Jule Anger <janger@samba.org>
 949    * BUG 15147: Manpage for smbstatus json is missing
 950
 951 o  Volker Lendecke <vl@samba.org>
 952    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 953
 954 o  Stefan Metzmacher <metze@samba.org>
 955    * BUG 15125: Performance regression on contended path based operations
 956    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 957
 958 o  Andreas Schneider <asn@samba.org>
 959    * BUG 15140: Fix issues found by coverity in smbstatus json code
 960    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 961
 962
 963 KNOWN ISSUES
 964 ============
 965
 966 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.17#Release_blocking_bugs
 967
 968
 969 #######################################
 970 Reporting bugs & Development Discussion
 971 #######################################
 972
 973 Please discuss this release on the samba-technical mailing list or by
 974 joining the #samba-technical:matrix.org matrix room, or
 975 #samba-technical IRC channel on irc.libera.chat
 976
 977 If you do report problems then please try to send high quality
 978 feedback. If you don't provide vital information to help us track down
 979 the problem then you will probably be ignored.  All bug reports should
 980 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 981 database (https://bugzilla.samba.org/).
 982
 983
 984 ======================================================================
 985 == Our Code, Our Bugs, Our Responsibility.
 986 == The Samba Team
 987 ======================================================================
 988