WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.11.9
   3                             May 05, 2020
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.11 release series.
   8
   9
  10 Changes since 4.11.8
  11 --------------------
  12
  13 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
  14    * BUG 14242: nmblib: Avoid undefined behaviour in handle_name_ptrs().
  15
  16 o  Björn Baumbach <bb@sernet.de>
  17    * BUG 14296: 'samba-tool group' commands do not handle group names with
  18      special chars correctly.
  19
  20 o  Ralph Boehme <slow@samba.org>
  21    * BUG 14237: smbd: avoid calling vfs_file_id_from_sbuf() if statinfo is not
  22      valid.
  23    * BUG 14293: Missing check for DMAPI offline status in async DOS attributes.
  24    * BUG 14307: smbd: Ignore set NTACL requests which contain S-1-5-88 NFS ACEs.
  25    * BUG 14316: vfs_recycle: Prevent flooding the log if we're called on
  26      non-existant paths.
  27    * BUG 14320: smbd mistakenly updates a file's write-time on close.
  28
  29 o  Alexander Bokovoy <ab@samba.org>
  30    * BUG 14359: RPC handles cannot be differentiated in source3 RPC server.
  31
  32 o  Günther Deschner <gd@samba.org>
  33    * BUG 14313: librpc: Fix IDL for svcctl_ChangeServiceConfigW.
  34    * BUG 14327: nsswitch: Fix use-after-free causing segfault in
  35      _pam_delete_cred.
  36
  37 o  Art M. Gallagher <repos@artmg.net>
  38    * BUG 13622: Fix fruit:time machine max size on arm.
  39
  40 o  Amitay Isaacs <amitay@gmail.com>
  41    * BUG 14294: CTDB recovery corner cases can cause record resurrection and
  42      node banning.
  43
  44 o  Volker Lendecke <vl@samba.org>
  45    * BUG 14348: ctdb: Fix a memleak.
  46    * libsmb: Don't try to find posix stat info in SMBC_getatr().
  47
  48 o  Noel Power <noel.power@suse.com>
  49    * BUG 14295: ctdb-tcp: Move free of inbound queue to TCP restart.
  50    * BUG 14344: s3/librpc/crypto: Fix double free with unresolved credential
  51      cache.
  52
  53 o  Andreas Schneider <asn@samba.org>
  54    * BUG 14336: s3:libads: Fix ads_get_upn().
  55
  56 o  Martin Schwenke <martin@meltin.net>
  57    * BUG 14294: CTDB recovery corner cases can cause record resurrection and
  58      node banning.
  59    * BUG 14295: Starting ctdb node that was powered off hard before results in
  60      recovery loop.
  61    * BUG 14324: ctdb-recoverd: Avoid dereferencing NULL rec->nodemap.
  62
  63
  64 #######################################
  65 Reporting bugs & Development Discussion
  66 #######################################
  67
  68 Please discuss this release on the samba-technical mailing list or by
  69 joining the #samba-technical IRC channel on irc.freenode.net.
  70
  71 If you do report problems then please try to send high quality
  72 feedback. If you don't provide vital information to help us track down
  73 the problem then you will probably be ignored.  All bug reports should
  74 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  75 database (https://bugzilla.samba.org/).
  76
  77
  78 ======================================================================
  79 == Our Code, Our Bugs, Our Responsibility.
  80 == The Samba Team
  81 ======================================================================
  82
  83
  84 Release notes for older releases follow:
  85 ----------------------------------------
  86
  87                    ==============================
  88                    Release Notes for Samba 4.11.8
  89                            April 28, 2020
  90                    ==============================
  91
  92
  93 This is a security release in order to address the following defects:
  94
  95 o CVE-2020-10700: Use-after-free in Samba AD DC LDAP Server with ASQ
  96 o CVE-2020-10704: LDAP Denial of Service (stack overflow) in Samba AD DC
  97
  98
  99 =======
 100 Details
 101 =======
 102
 103 o  CVE-2020-10700:
 104    A client combining the 'ASQ' and 'Paged Results' LDAP controls can cause a
 105    use-after-free in Samba's AD DC LDAP server.
 106 o  CVE-2020-10704:
 107    A deeply nested filter in an un-authenticated LDAP search can exhaust the
 108    LDAP server's stack memory causing a SIGSEGV.
 109
 110 For more details, please refer to the security advisories.
 111
 112
 113 Changes since 4.11.7
 114 --------------------
 115
 116 o  Andrew Bartlett <abartlet@samba.org>
 117    * BUG 14331: CVE-2020-10700: Fix use-after-free in AD DC LDAP server when
 118      ASQ and paged_results combined.
 119
 120 o  Gary Lockyer <gary@catalyst.net.nz>
 121    * BUG 20454: CVE-2020-10704: Fix LDAP Denial of Service (stack overflow) in
 122      Samba AD DC.
 123
 124
 125 #######################################
 126 Reporting bugs & Development Discussion
 127 #######################################
 128
 129 Please discuss this release on the samba-technical mailing list or by
 130 joining the #samba-technical IRC channel on irc.freenode.net.
 131
 132 If you do report problems then please try to send high quality
 133 feedback. If you don't provide vital information to help us track down
 134 the problem then you will probably be ignored.  All bug reports should
 135 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 136 database (https://bugzilla.samba.org/).
 137
 138
 139 ======================================================================
 140 == Our Code, Our Bugs, Our Responsibility.
 141 == The Samba Team
 142 ======================================================================
 143
 144
 145 ----------------------------------------------------------------------
 146
 147
 148                    ==============================
 149                    Release Notes for Samba 4.11.7
 150                            March 10, 2020
 151                    ==============================
 152
 153
 154 This is the latest stable release of the Samba 4.11 release series.
 155
 156
 157 Changes since 4.11.6:
 158 ---------------------
 159
 160 o  Jeremy Allison <jra@samba.org>
 161    * BUG 14239: s3: lib: nmblib. Clean up and harden nmb packet processing.
 162    * BUG 14283: s3: VFS: full_audit. Use system session_info if called from a
 163      temporary share definition.
 164
 165 o  Andrew Bartlett <abartlet@samba.org>
 166    * BUG 14258: dsdb: Correctly handle memory in objectclass_attrs.
 167    * BUG 14270: ldb: version 2.0.9, Samba 4.11 and later give incorrect results
 168      for SCOPE_ONE searches.
 169
 170 o  Volker Lendecke <vl@samba.org>
 171    * BUG 14247: auth: Fix CIDs 1458418 and 1458420 Null pointer dereferences.
 172    * BUG 14285: smbd: Handle EINTR from open(2) properly.
 173
 174 o  Stefan Metzmacher <metze@samba.org>
 175    * BUG 14247: winbind member (source3) fails local SAM auth with empty domain
 176      name.
 177    * BUG 14265: winbindd: Handling missing idmap in getgrgid().
 178
 179 o  Andreas Schneider <asn@samba.org>
 180    * BUG 14253: lib:util: Log mkdir error on correct debug levels.
 181    * BUG 14266: wafsamba: Do not use 'rU' as the 'U' is deprecated in
 182      Python 3.9.
 183
 184 o  Martin Schwenke <martin@meltin.net>
 185    * BUG 14274: ctdb-tcp: Make error handling for outbound connection
 186      consistent.
 187
 188
 189 #######################################
 190 Reporting bugs & Development Discussion
 191 #######################################
 192
 193 Please discuss this release on the samba-technical mailing list or by
 194 joining the #samba-technical IRC channel on irc.freenode.net.
 195
 196 If you do report problems then please try to send high quality
 197 feedback. If you don't provide vital information to help us track down
 198 the problem then you will probably be ignored.  All bug reports should
 199 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 200 database (https://bugzilla.samba.org/).
 201
 202
 203 ======================================================================
 204 == Our Code, Our Bugs, Our Responsibility.
 205 == The Samba Team
 206 ======================================================================
 207
 208
 209 ----------------------------------------------------------------------
 210
 211
 212                    ==============================
 213                    Release Notes for Samba 4.11.6
 214                           January 28, 2020
 215                    ==============================
 216
 217
 218 This is the latest stable release of the Samba 4.11 release series.
 219
 220
 221 Changes since 4.11.5:
 222 ---------------------
 223
 224 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 225    * BUG 14209: pygpo: Use correct method flags.
 226
 227 o  David Disseldorp <ddiss@samba.org>
 228    * BUG 14216: vfs_ceph_snapshots: Fix root relative path handling.
 229
 230 o  Torsten Fohrer <torsten.fohrer@sbe.de>
 231    * BUG 14209: Avoiding bad call flags with python 3.8, using METH_NOARGS
 232      instead of zero.
 233
 234 o  Fabrice Fontaine <fontaine.fabrice@gmail.com>
 235    * BUG 14218: source4/utils/oLschema2ldif: Include stdint.h before cmocka.h.
 236
 237 o  Björn Jacke <bjacke@samba.org>
 238    * BUG 14122: docs-xml/winbindnssinfo: Clarify interaction with idmap_ad etc.
 239
 240 o  Volker Lendecke <vl@samba.org>
 241    * BUG 14251: smbd: Fix the build with clang.
 242
 243 o  Gary Lockyer <gary@catalyst.net.nz>
 244    * BUG 14199: upgradedns: Ensure lmdb lock files linked.
 245
 246 o  Anoop C S <anoopcs@redhat.com>
 247    * BUG 14182: s3: VFS: glusterfs: Reset nlinks for symlink entries during
 248      readdir.
 249
 250 o  Andreas Schneider <asn@samba.org>
 251    * BUG 14101: smbc_stat() doesn't return the correct st_mode and also the
 252      uid/gid is not filled (SMBv1) file.
 253    * BUG 14219: librpc: Fix string length checking in
 254      ndr_pull_charset_to_null().
 255
 256 o  Martin Schwenke <martin@meltin.net>
 257    * BUG 14227: ctdb-scripts: Strip square brackets when gathering connection
 258      info.
 259
 260
 261 #######################################
 262 Reporting bugs & Development Discussion
 263 #######################################
 264
 265 Please discuss this release on the samba-technical mailing list or by
 266 joining the #samba-technical IRC channel on irc.freenode.net.
 267
 268 If you do report problems then please try to send high quality
 269 feedback. If you don't provide vital information to help us track down
 270 the problem then you will probably be ignored.  All bug reports should
 271 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 272 database (https://bugzilla.samba.org/).
 273
 274
 275 ======================================================================
 276 == Our Code, Our Bugs, Our Responsibility.
 277 == The Samba Team
 278 ======================================================================
 279
 280
 281 ----------------------------------------------------------------------
 282
 283
 284                    ==============================
 285                    Release Notes for Samba 4.11.5
 286                           January 21, 2020
 287                    ==============================
 288
 289
 290 This is a security release in order to address the following defects:
 291
 292 o CVE-2019-14902: Replication of ACLs set to inherit down a subtree on AD
 293                   Directory not automatic.
 294 o CVE-2019-14907: Crash after failed character conversion at log level 3 or
 295                   above.
 296 o CVE-2019-19344: Use after free during DNS zone scavenging in Samba AD DC.
 297
 298
 299 =======
 300 Details
 301 =======
 302
 303 o  CVE-2019-14902:
 304    The implementation of ACL inheritance in the Samba AD DC was not complete,
 305    and so absent a 'full-sync' replication, ACLs could get out of sync between
 306    domain controllers.
 307
 308 o  CVE-2019-14907:
 309    When processing untrusted string input Samba can read past the end of the
 310    allocated buffer when printing a "Conversion error" message to the logs.
 311
 312 o  CVE-2019-19344:
 313    During DNS zone scavenging (of expired dynamic entries) there is a read of
 314    memory after it has been freed.
 315
 316 For more details and workarounds, please refer to the security advisories.
 317
 318
 319 Changes since 4.11.4:
 320 ---------------------
 321
 322 o  Andrew Bartlett <abartlet@samba.org>
 323    * BUG 12497: CVE-2019-14902: Replication of ACLs down subtree on AD Directory
 324      not automatic.
 325    * BUG 14208: CVE-2019-14907: lib/util: Do not print the failed to convert
 326      string into the logs.
 327
 328 o  Gary Lockyer <gary@catalyst.net.nz>
 329    * BUG 14050: CVE-2019-19344: kcc dns scavenging: Fix use after free in
 330      dns_tombstone_records_zone.
 331
 332
 333 #######################################
 334 Reporting bugs & Development Discussion
 335 #######################################
 336
 337 Please discuss this release on the samba-technical mailing list or by
 338 joining the #samba-technical IRC channel on irc.freenode.net.
 339
 340 If you do report problems then please try to send high quality
 341 feedback. If you don't provide vital information to help us track down
 342 the problem then you will probably be ignored.  All bug reports should
 343 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 344 database (https://bugzilla.samba.org/).
 345
 346
 347 ======================================================================
 348 == Our Code, Our Bugs, Our Responsibility.
 349 == The Samba Team
 350 ======================================================================
 351
 352
 353 ----------------------------------------------------------------------
 354
 355
 356                    ==============================
 357                    Release Notes for Samba 4.11.4
 358                           December 16, 2019
 359                    ==============================
 360
 361
 362 This is the latest stable release of the Samba 4.11 release series.
 363
 364
 365 Changes since 4.11.3:
 366 ---------------------
 367
 368 o  Jeremy Allison <jra@samba.org>
 369    * BUG 14161: s3: libsmb: Ensure SMB1 cli_qpathinfo2() doesn't return an inode
 370      number.
 371    * BUG 14174: s3: utils: smbtree. Ensure we don't call cli_RNetShareEnum()
 372      on an SMB1 connection.
 373    * BUG 14176: NT_STATUS_ACCESS_DENIED becomes EINVAL when using SMB2 in
 374      SMBC_opendir_ctx.
 375    * BUG 14189: s3: smbd: SMB2 - Ensure we use the correct session_id if
 376      encrypting an interim response.
 377    * BUG 14205: Prevent smbd crash after invalid SMB1 negprot.
 378
 379 o  Ralph Boehme <slow@samba.org>
 380    * BUG 13745: s3:printing: Fix %J substition.
 381    * BUG 13925: s3: Remove now unneeded call to cmdline_messaging_context().
 382    * BUG 14069: Incomplete conversion of former parametric options.
 383    * BUG 14070: Fix sync dosmode fallback in async dosmode codepath.
 384    * BUG 14171: vfs_fruit returns capped resource fork length.
 385
 386 o  Isaac Boukris <iboukris@gmail.com>
 387    * BUG 14116: libnet_join: Add SPNs for additional-dns-hostnames entries.
 388
 389 o  Volker Lendecke <vl@samba.org>
 390    * BUG 14211: smbd: Increase a debug level.
 391
 392 o  Stefan Metzmacher <metze@samba.org>
 393    * BUG 14153: Prevent azure ad connect from reporting discovery errors:
 394      reference-value-not-ldap-conformant.
 395
 396 o  Christof Schmitt <cs@samba.org>
 397    * BUG 14179: krb5_plugin: Fix developer build with newer heimdal system
 398      library.
 399
 400 o  Andreas Schneider <asn@samba.org>
 401    * BUG 14168: replace: Only link libnsl and libsocket if requrired.
 402
 403 o  Martin Schwenke <martin@meltin.net>
 404    * BUG 14175: ctdb: Incoming queue can be orphaned causing communication
 405      breakdown.
 406
 407 o  Uri Simchoni <uri@samba.org>
 408    * BUG 13846: ldb: Release ldb 2.0.8. Cross-compile will not take
 409      cross-answers or cross-execute.
 410    * BUG 13856: heimdal-build: Avoid hard-coded /usr/include/heimdal in
 411      asn1_compile-generated code.
 412
 413
 414 #######################################
 415 Reporting bugs & Development Discussion
 416 #######################################
 417
 418 Please discuss this release on the samba-technical mailing list or by
 419 joining the #samba-technical IRC channel on irc.freenode.net.
 420
 421 If you do report problems then please try to send high quality
 422 feedback. If you don't provide vital information to help us track down
 423 the problem then you will probably be ignored.  All bug reports should
 424 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 425 database (https://bugzilla.samba.org/).
 426
 427
 428 ======================================================================
 429 == Our Code, Our Bugs, Our Responsibility.
 430 == The Samba Team
 431 ======================================================================
 432
 433
 434 ----------------------------------------------------------------------
 435
 436
 437                    ==============================
 438                    Release Notes for Samba 4.11.3
 439                           December 10, 2019
 440                    ==============================
 441
 442
 443 This is a security release in order to address the following defects:
 444
 445 o CVE-2019-14861: Samba AD DC zone-named record Denial of Service in DNS
 446                   management server (dnsserver).
 447 o CVE-2019-14870: DelegationNotAllowed not being enforced in protocol transition
 448                   on Samba AD DC.
 449
 450
 451 =======
 452 Details
 453 =======
 454
 455 o  CVE-2019-14861:
 456    An authenticated user can crash the DCE/RPC DNS management server by creating
 457    records with matching the zone name.
 458
 459 o  CVE-2019-14870:
 460    The DelegationNotAllowed Kerberos feature restriction was not being applied
 461    when processing protocol transition requests (S4U2Self), in the AD DC KDC.
 462
 463 For more details and workarounds, please refer to the security advisories.
 464
 465
 466 Changes since 4.11.2:
 467 ---------------------
 468
 469 o  Andrew Bartlett <abartlet@samba.org>
 470    * BUG 14138: CVE-2019-14861: Fix DNSServer RPC server crash.
 471
 472 o  Isaac Boukris <iboukris@gmail.com>
 473    * BUG 14187: CVE-2019-14870: DelegationNotAllowed not being enforced.
 474
 475
 476 #######################################
 477 Reporting bugs & Development Discussion
 478 #######################################
 479
 480 Please discuss this release on the samba-technical mailing list or by
 481 joining the #samba-technical IRC channel on irc.freenode.net.
 482
 483 If you do report problems then please try to send high quality
 484 feedback. If you don't provide vital information to help us track down
 485 the problem then you will probably be ignored.  All bug reports should
 486 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 487 database (https://bugzilla.samba.org/).
 488
 489
 490 ======================================================================
 491 == Our Code, Our Bugs, Our Responsibility.
 492 == The Samba Team
 493 ======================================================================
 494
 495
 496 ----------------------------------------------------------------------
 497
 498
 499                    ==============================
 500                    Release Notes for Samba 4.11.2
 501                           October 29, 2019
 502                    ==============================
 503
 504
 505 This is a security release in order to address the following defects:
 506
 507 o CVE-2019-10218: Client code can return filenames containing path separators.
 508 o CVE-2019-14833: Samba AD DC check password script does not receive the full
 509                   password.
 510 o CVE-2019-14847: User with "get changes" permission can crash AD DC LDAP server
 511                   via dirsync.
 512
 513 =======
 514 Details
 515 =======
 516
 517 o  CVE-2019-10218:
 518    Malicious servers can cause Samba client code to return filenames containing
 519    path separators to calling code.
 520
 521 o  CVE-2019-14833:
 522    When the password contains multi-byte (non-ASCII) characters, the check
 523    password script does not receive the full password string.
 524
 525 o  CVE-2019-14847:
 526    Users with the "get changes" extended access right can crash the AD DC LDAP
 527    server by requesting an attribute using the range= syntax.
 528
 529 For more details and workarounds, please refer to the security advisories.
 530
 531
 532 Changes since 4.11.1:
 533 ---------------------
 534
 535 o  Jeremy Allison <jra@samba.org>
 536    * BUG 14071: CVE-2019-10218 - s3: libsmb: Protect SMB1 and SMB2 client code
 537      from evil server returned names.
 538
 539 o  Andrew Bartlett <abartlet@samba.org>
 540    * BUG 12438: CVE-2019-14833: Use utf8 characters in the unacceptable
 541      password.
 542    * BUG 14040: CVE-2019-14847 dsdb: Correct behaviour of ranged_results when
 543      combined with dirsync.
 544
 545 o  Björn Baumbach <bb@sernet.de>
 546    * BUG 12438: CVE-2019-14833 dsdb: Send full password to check password
 547      script.
 548
 549
 550 #######################################
 551 Reporting bugs & Development Discussion
 552 #######################################
 553
 554 Please discuss this release on the samba-technical mailing list or by
 555 joining the #samba-technical IRC channel on irc.freenode.net.
 556
 557 If you do report problems then please try to send high quality
 558 feedback. If you don't provide vital information to help us track down
 559 the problem then you will probably be ignored.  All bug reports should
 560 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 561 database (https://bugzilla.samba.org/).
 562
 563
 564 ======================================================================
 565 == Our Code, Our Bugs, Our Responsibility.
 566 == The Samba Team
 567 ======================================================================
 568
 569
 570 ----------------------------------------------------------------------
 571
 572
 573                    ==============================
 574                    Release Notes for Samba 4.11.1
 575                           October 18, 2019
 576                    ==============================
 577
 578
 579 This is the latest stable release of the Samba 4.11 release series.
 580
 581
 582 Changes since 4.11.0:
 583 ---------------------
 584
 585 o  Michael Adam <obnox@samba.org>
 586    * BUG 14141: getpwnam and getpwuid need to return data for ID_TYPE_BOTH
 587      group.
 588
 589 o  Jeremy Allison <jra@samba.org>
 590    * BUG 14094: smbc_readdirplus() is incompatible with smbc_telldir() and
 591      smbc_lseekdir().
 592    * BUG 14152: s3: smbclient: Stop an SMB2-connection from blundering into
 593      SMB1-specific calls.
 594
 595 o  Ralph Boehme <slow@samba.org>
 596    * BUG 14137: Fix stale file handle error when using mkstemp on a share.
 597
 598 o  Isaac Boukris <iboukris@gmail.com>
 599    * BUG 14106: Fix spnego fallback from kerberos to ntlmssp in smbd server.
 600    * BUG 14140: Overlinking libreplace against librt and pthread against every
 601      binary or library causes issues.
 602
 603 o  Günther Deschner <gd@samba.org>
 604    * BUG 14130: s3-winbindd: Fix forest trusts with additional trust attributes.
 605    * BUG 14134: auth/gensec: Fix non-AES schannel seal.
 606
 607 o  Amitay Isaacs <amitay@gmail.com>
 608    * BUG 14147: Deleted records can be resurrected during recovery.
 609
 610 o  Björn Jacke <bj@sernet.de>
 611    * BUG 14136: Fix uncaught exception in classicupgrade.
 612    * BUG 14139: fault.c: Improve fault_report message text pointing to our wiki.
 613
 614 o  Bryan Mason <bmason@redhat.com>
 615    * BUG 14128: s3:client: Use DEVICE_URI, instead of argv[0], for Device URI.
 616
 617 o  Stefan Metzmacher <metze@samba.org>
 618    * BUG 14124: pam_winbind with krb5_auth or wbinfo -K doesn't work for users
 619      of trusted domains/forests.
 620
 621 o  Mathieu Parent <math.parent@gmail.com>
 622    * BUG 14131: Remove 'pod2man' as it is no longer needed.
 623
 624 o  Andreas Schneider <asn@samba.org>
 625    * BUG 13884: Joining Active Directory should not use SAMR to set the
 626      password.
 627    * BUG 14140: Overlinking libreplace against librt and pthread against every
 628      binary or library causes issues.
 629    * BUG 14155: 'kpasswd' fails when built with MIT Kerberos.
 630
 631 o  Martin Schwenke <martin@meltin.net>
 632    * BUG 14129: Exit code of ctdb nodestatus should not be influenced by deleted
 633      nodes.
 634
 635
 636 #######################################
 637 Reporting bugs & Development Discussion
 638 #######################################
 639
 640 Please discuss this release on the samba-technical mailing list or by
 641 joining the #samba-technical IRC channel on irc.freenode.net.
 642
 643 If you do report problems then please try to send high quality
 644 feedback. If you don't provide vital information to help us track down
 645 the problem then you will probably be ignored.  All bug reports should
 646 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 647 database (https://bugzilla.samba.org/).
 648
 649
 650 ======================================================================
 651 == Our Code, Our Bugs, Our Responsibility.
 652 == The Samba Team
 653 ======================================================================
 654
 655
 656 ----------------------------------------------------------------------
 657
 658
 659                    ==============================
 660                    Release Notes for Samba 4.11.0
 661                          September 17, 2019
 662                    ==============================
 663
 664
 665 This is the first stable release of the Samba 4.11 release series.
 666 Please read the release notes carefully before upgrading.
 667
 668
 669 UPGRADING
 670 =========
 671
 672 AD Database compatibility
 673 -------------------------
 674
 675 Samba 4.11 has changed how the AD database is stored on disk. AD users should
 676 not really be affected by this change when upgrading to 4.11. However, AD
 677 users should be extremely careful if they need to downgrade from Samba 4.11 to
 678 an older release.
 679
 680 Samba 4.11 maintains database compatibility with older Samba releases. The
 681 database will automatically get rewritten in the new 4.11 format when you
 682 first start the upgraded samba executable.
 683
 684 However, when downgrading from 4.11 you will need to manually downgrade the AD
 685 database yourself. Note that you will need to do this step before you install
 686 the downgraded Samba packages. For more details, see:
 687 https://wiki.samba.org/index.php/Downgrading_an_Active_Directory_DC
 688
 689 When either upgrading or downgrading, users should also avoid making any
 690 database modifications between installing the new Samba packages and starting
 691 the samba executable.
 692
 693 SMB1 is disabled by default
 694 ---------------------------
 695
 696 The defaults of 'client min protocol' and 'server min protocol'
 697 have been changed to SMB2_02.
 698
 699 This means clients without support for SMB2 or SMB3 are no longer
 700 able to connect to smbd (by default).
 701
 702 It also means client tools like smbclient and other,
 703 as well as applications making use of libsmbclient are no longer
 704 able to connect to servers without SMB2 or SMB3 support (by default).
 705
 706 It's still possible to allow SMB1 dialects, e.g. NT1, LANMAN2
 707 and LANMAN1 for client and server, as well as CORE and COREPLUS on
 708 the client.
 709
 710 Note that most commandline tools e.g. smbclient, smbcacls and others
 711 also support the '--option' argument to overwrite smb.conf options,
 712 e.g. --option='client min protocol=NT1' might be useful.
 713
 714 As Microsoft no longer installs SMB1 support in recent releases
 715 or uninstalls it after 30 days without usage, the Samba Team
 716 tries to get remove the SMB1 usage as much as possible.
 717
 718 SMB1 is officially deprecated and might be removed step by step
 719 in the following years. If you have a strong requirement for SMB1
 720 (except for supporting old Linux Kernels), please file a bug
 721 at https://bugzilla.samba.org and let us know about the details.
 722
 723 LanMan and plaintext authentication deprecated
 724 ----------------------------------------------
 725
 726 The "lanman auth" and "encrypt passwords" parameters are deprecated
 727 with this release as both are only applicable to SMB1 and are quite
 728 insecure.  NTLM, NTLMv2 and Kerberos authentication are unaffected, as
 729 "encrypt passwords = yes" has been the default since Samba 3.0.0.
 730
 731 If you have a strong requirement for these authentication protocols,
 732 please file a bug at https://bugzilla.samba.org and let us know about
 733 the details.
 734
 735 BIND9_FLATFILE deprecated
 736 -------------------------
 737
 738 The BIND9_FLATFILE DNS backend is deprecated in this release and will
 739 be removed in the future.  This was only practically useful on a single
 740 domain controller or under expert care and supervision.
 741
 742 This release therefore deprecates the "rndc command" smb.conf
 743 parameter, which is used to support this configuration.  After writing
 744 out a list of DCs permitted to make changes to the DNS Zone "rndc
 745 command" is called with reload to tell the 'named' server if a DC was
 746 added/removed to to the domain.
 747
 748
 749 NEW FEATURES/CHANGES
 750 ====================
 751
 752 Default samba process model
 753 ---------------------------
 754
 755 The default for the '--model' argument passed to the samba executable has changed
 756 from 'standard' to 'prefork'. This means a difference in the number of samba
 757 child processes that are created to handle client connections. The previous
 758 default would create a separate process for every LDAP or NETLOGON client
 759 connection. For a network with a lot of persistent client connections, this
 760 could result in significant memory overhead.  Now, with the new default of
 761 'prefork', the LDAP, NETLOGON, and KDC services will create a fixed number of
 762 worker processes at startup and share the client connections amongst these
 763 workers. The number of worker processes can be configured by the 'prefork
 764 children' setting in the smb.conf (the default is 4).
 765
 766 Authentication Logging
 767 ----------------------
 768
 769 Winbind now logs PAM_AUTH and NTLM_AUTH events, a new attribute "logonId" has
 770 been added to the Authentication JSON log messages.  This contains a random
 771 logon id that is generated for each PAM_AUTH and NTLM_AUTH request and is passed
 772 to SamLogon, linking the windbind and SamLogon requests.
 773
 774 The serviceDescription of the messages is set to "winbind", the authDescription
 775 is set to one of:
 776    "PASSDB, <command>, <pid>"
 777    "PAM_AUTH, <command>, <pid>"
 778    "NTLM_AUTH, <command>, <pid>"
 779 where:
 780    <command> is the name of the command makinmg the winbind request i.e. wbinfo
 781    <pid>     is the process id of the requesting process.
 782
 783 The version of the JSON Authentication messages has been changed from 1.1 to
 784 1.2.
 785
 786 LDAP referrals
 787 --------------
 788
 789 The scheme of returned LDAP referrals now reflects the scheme of the original
 790 request, i.e. referrals received via ldap are prefixed with "ldap://"
 791 and those over ldaps are prefixed with "ldaps://".
 792
 793 Previously all referrals were prefixed with "ldap://".
 794
 795 Bind9 logging
 796 -------------
 797
 798 It is now possible to log the duration of DNS operations performed by Bind9.
 799 This should aid future diagnosis of performance issues and could be used to
 800 monitor DNS performance. The logging is enabled by setting log level to
 801 "dns:10" in smb.conf.
 802
 803 The logs are currently human readable text only, i.e. no JSON formatted output.
 804
 805 Log lines are of the form:
 806
 807     <function>: DNS timing: result: [<result>] duration: (<duration>)
 808     zone: [<zone>] name: [<name>] data: [<data>]
 809
 810     durations are in microseconds.
 811
 812 Default schema updated to 2012_R2
 813 ---------------------------------
 814
 815 Default AD schema changed from 2008_R2 to 2012_R2.  2012_R2 functional level
 816 is not yet available.  Older schemas can be used by provisioning with the
 817 '--base-schema' argument.  Existing installations can be updated with the
 818 samba-tool command "domain schemaupgrade".
 819
 820 Samba's replication code has also been improved to handle replication
 821 with the 2012 schema (the core of this replication fix has also been
 822 backported to 4.9.11 and will be in a 4.10.x release).
 823
 824 For more about how the AD schema relates to overall Windows compatibility,
 825 please read:
 826 https://wiki.samba.org/index.php/Windows_2012_Server_compatibility
 827
 828 GnuTLS 3.2 required
 829 -------------------
 830
 831 Samba is making efforts to remove in-tree cryptographic functionality,
 832 and to instead rely on externally maintained libraries.  To this end,
 833 Samba has chosen GnuTLS as our standard cryptographic provider.
 834
 835 Samba now requires GnuTLS 3.2 to be installed (including development
 836 headers at build time) for all configurations, not just the Samba AD
 837 DC.
 838
 839 NOTE WELL: The use of GnuTLS means that Samba will honour the
 840 system-wide 'FIPS mode' (a reference to the US FIPS-140 cryptographic
 841 standard) and so will not operate in many still common situations if
 842 this system-wide parameter is in effect, as many of our protocols rely
 843 on outdated cryptography.
 844
 845 A future Samba version will mitigate this to some extent where good
 846 cryptography effectively wraps bad cryptography, but for now that above
 847 applies.
 848
 849 samba-tool improvements
 850 -----------------------
 851
 852 A new "samba-tool contact" command has been added to allow the
 853 command-line manipulation of contacts, as used for address book
 854 lookups in LDAP.
 855
 856 The "samba-tool [user|group|computer|group|contact] edit" command has been
 857 improved to operate more pleasantly on international character sets.
 858
 859 100,000 USER and LARGER Samba AD DOMAINS
 860 ========================================
 861
 862 Extensive efforts have been made to optimise Samba for use in
 863 organisations (for example) targeting 100,000 users, plus 120,000
 864 computer objects, as well as large number of group memberships.
 865
 866 Many of the specific efforts are detailed below, but the net results
 867 is to remove barriers to significantly larger Samba deployments
 868 compared to previous releases.
 869
 870 Reindex performance improvements
 871 --------------------------------
 872
 873 The performance of samba-tool dbcheck --reindex has been improved,
 874 especially for large domains.
 875
 876 join performance improvements
 877 -----------------------------
 878
 879 The performance of samba-tool domain join has been improved,
 880 especially for large domains.
 881
 882 LDAP Server memory improvements
 883 -------------------------------
 884
 885 The LDAP server has improved memory efficiency, ensuring that large
 886 LDAP responses (for example a search for all objects) is not copied
 887 multiple times into memory.
 888
 889 Setting lmdb map size
 890 ---------------------
 891
 892 It is now possible to set the lmdb map size (the maximum permitted
 893 size for the database).  "samba-tool" now accepts the
 894 "--backend-store-size" i.e. --backend-store-size=4Gb.  If not
 895 specified it defaults to 8Gb.
 896
 897 This option is avaiable for the following sub commands:
 898  * domain provision
 899  * domain join
 900  * domain dcpromo
 901  * drs clone-dc-database
 902
 903 LDB "batch_mode"
 904 ----------------
 905
 906 To improve performance during batch operations i.e. joins, ldb now
 907 accepts a "batch_mode" option.  However to prevent any index or
 908 database inconsistencies if an operation fails, the entire transaction
 909 will be aborted at commit.
 910
 911 New LDB pack format
 912 -------------------
 913
 914 On first use (startup of 'samba' or the first transaction write)
 915 Samba's sam.ldb will be updated to a new more efficient pack format.
 916 This will take a few moments.
 917
 918 New LDB <= and >= index mode to improve replication performance
 919 ---------------------------------------------------------------
 920
 921 As well as a new pack format, Samba's sam.ldb uses a new index format
 922 allowing Samba to efficiently select objects changed since the last
 923 replication cycle.  This in turn improves performance during
 924 replication of large domains.
 925
 926 https://wiki.samba.org/index.php/LDB_Greater_than_and_Less_than_indexing
 927
 928 Improvements to ldb search performance
 929 --------------------------------------
 930
 931 Search performance on large LDB databases has been improved by
 932 reducing memory allocations made on each object.
 933
 934 Improvements to subtree rename performance
 935 ------------------------------------------
 936
 937 Improvements have been made to Samba's handling of subtree renames,
 938 for example of containers and organisational units, however large
 939 renames are still not recommended.
 940
 941 CTDB changes
 942 ============
 943
 944 * nfs-linux-kernel-callout now defaults to using systemd service names
 945
 946   The Red Hat service names continue to be the default.
 947
 948   Other distributions should patch this file when packaging it.
 949
 950 * The onnode -o option has been removed
 951
 952 * ctdbd logs when it is using more than 90% of a CPU thread
 953
 954   ctdbd is single threaded, so can become saturated if it uses the
 955   full capacity of a CPU thread.  To help detect this situation, ctdbd
 956   now logs messages when CPU utilisation exceeds 90%.  Each change in
 957   CPU utilisation over 90% is logged.  A message is also logged when
 958   CPU utilisation drops below the 90% threshold.
 959
 960 * Script configuration variable CTDB_MONITOR_SWAP_USAGE has been removed
 961
 962   05.system.script now monitors total memory (i.e. physical memory +
 963   swap) utilisation using the existing CTDB_MONITOR_MEMORY_USAGE
 964   script configuration variable.
 965
 966 CephFS Snapshot Integration
 967 ---------------------------
 968
 969 CephFS snapshots can now be exposed as previous file versions using the new
 970 ceph_snapshots VFS module. See the vfs_ceph_snapshots(8) man page for details.
 971
 972
 973 REMOVED FEATURES
 974 ================
 975
 976 Web server
 977 ----------
 978
 979 As a leftover from work related to the Samba Web Administration Tool (SWAT),
 980 Samba still supported a Python WSGI web server (which could still be turned on
 981 from the 'server services' smb.conf parameter). This service was unused and has
 982 now been removed from Samba.
 983
 984 samba-tool join subdomain
 985 -------------------------
 986
 987 The subdomain role has been removed from the join command.  This option did
 988 not work and has no tests.
 989
 990 Python2 support
 991 ---------------
 992
 993 Samba 4.11 will not have any runtime support for Python 2.
 994
 995 If you are building Samba using the '--disable-python' option
 996 (i.e. you're excluding all the run-time Python support), then this
 997 will continue to work on a system that supports either python2 or
 998 python3.
 999
1000 To build Samba with python2 you *must* set the 'PYTHON' environment
1001 variable for both the 'configure' and 'make' steps, i.e.
1002    'PYTHON=python2 ./configure'
1003    'PYTHON=python2 make'
1004 This will override the python3 default.
1005
1006 Except for this specific build-time use of python2, Samba now requires
1007 Python 3.4 as a minimum.
1008
1009 smb.conf changes
1010 ================
1011
1012   Parameter Name                     Description                Default
1013   --------------                     -----------                -------
1014
1015   allocation roundup size            Default changed/           0
1016                                      Deprecated
1017   client min protocol                Changed default            SMB2_02
1018   server min protocol                Changed default            SMB2_02
1019   mangled names                      Changed default            illegal
1020   web port                           Removed
1021   fruit:zero_file_id                 Changed default            False
1022   debug encryption                   New: dump encryption keys  False
1023   rndc command                       Deprecated
1024   lanman auth                        Deprecated
1025   encrypt passwords                  Deprecated
1026
1027
1028 CHANGES SINCE 4.11.0rc4
1029 =======================
1030
1031
1032 CHANGES SINCE 4.11.0rc3
1033 =======================
1034
1035 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
1036    * BUG 14049: ldb: Don't try to save a value that isn't there.
1037    * ldb_dn: Free dn components on explode failure.
1038    * ldb: Do not allow adding a DN as a base to itself.
1039
1040 o  Andrew Bartlett <abartlet@samba.org>
1041    * ldb: Release ldb 2.0.7.
1042    * BUG 13695: ldb: Correct Pigeonhole principle validation in
1043      ldb_filter_attrs().
1044    * BUG 14049: Fix ldb dn crash.
1045    * BUG 14117: Deprecate "lanman auth = yes" and "encrypt passwords = no".
1046
1047 o  Ralph Boehme <slow@samba.org>
1048    * BUG 14038: Fix compiling ctdb on older systems lacking POSIX robust
1049      mutexes.
1050    * BUG 14121: smbd returns bad File-ID on filehandle used to create a file or
1051      directory.
1052
1053 o  Poornima G <pgurusid@redhat.com>
1054    * BUG 14098: vfs_glusterfs: Use pthreadpool for scheduling aio operations.
1055
1056 o  Stefan Metzmacher <metze@samba.org>
1057    * BUG 14055: Add the target server name of SMB 3.1.1 connections as a hint to
1058      load balancers or servers with "multi-tenancy" support.
1059    * BUG 14113: Fix byte range locking bugs/regressions.
1060
1061 o  Swen Schillig <swen@linux.ibm.com>
1062    * ldb: Fix mem-leak if talloc_realloc fails.
1063
1064 o  Evgeny Sinelnikov <sin@altlinux.org>
1065    * BUG 14007: Fix join with don't exists machine account.
1066
1067 o  Martin Schwenke <martin@meltin.net>
1068    * BUG 14085: ctdb-recoverd: Only check for LMASTER nodes in the VNN map.
1069
1070
1071 CHANGES SINCE 4.11.0rc2
1072 =======================
1073
1074 o  Michael Adam <obnox@samba.org>
1075    * BUG 13972: Different Device Id for GlusterFS FUSE mount is causing data
1076      loss in CTDB cluster.
1077
1078 o  Jeremy Allison <jra@samba.org>
1079    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
1080      from the share.
1081
1082 o  Andrew Bartlett <abartlet@samba.org>
1083    * BUG 14059: ldb: Release ldb 2.0.6 (log database repack so users know what
1084      is happening).
1085    * BUG 14092: docs: Deprecate "rndc command" for Samba 4.11.
1086
1087 o  Tim Beale <timbeale@catalyst.net.nz>
1088    * BUG 14059: ldb: Free memory when repacking database.
1089
1090 o  Ralph Boehme <slow@samba.org>
1091    * BUG 14089: vfs_default: Use correct flag in vfswrap_fs_file_id.
1092    * BUG 14090: vfs_glusterfs: Initialize st_ex_file_id, st_ex_itime and
1093      st_ex_iflags.
1094
1095 o  Anoop C S <anoopcs@redhat.com>
1096    * BUG 14093: vfs_glusterfs: Enable profiling for file system operations.
1097
1098 o  Aaron Haslett <aaronhaslett@catalyst.net.nz>
1099    * BUG 14059: Backport sambadowngradedatabase for v4.11.
1100
1101 o  Stefan Metzmacher <metze@samba.org>
1102    * BUG 14035: CVE-2019-10197: Permissions check deny can allow user to escape
1103      from the share.
1104
1105 o  Christof Schmitt <cs@samba.org>
1106    * BUG 14032: vfs_gpfs: Implement special case for denying owner access to
1107      ACL.
1108
1109 o  Martin Schwenke <martin@meltin.net>
1110    * BUG 14084: Avoid marking a node as connected before it can receive packets.
1111    * BUG 14086: Fix onnode test failure with ShellCheck >= 0.4.7.
1112    * BUG 14087: ctdb-daemon: Stop "ctdb stop" from completing before freezing
1113      databases.
1114
1115
1116 KNOWN ISSUES
1117 ============
1118
1119 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.11#Release_blocking_bugs
1120
1121
1122 #######################################
1123 Reporting bugs & Development Discussion
1124 #######################################
1125
1126 Please discuss this release on the samba-technical mailing list or by
1127 joining the #samba-technical IRC channel on irc.freenode.net.
1128
1129 If you do report problems then please try to send high quality
1130 feedback. If you don't provide vital information to help us track down
1131 the problem then you will probably be ignored.  All bug reports should
1132 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1133 database (https://bugzilla.samba.org/).
1134
1135
1136 ======================================================================
1137 == Our Code, Our Bugs, Our Responsibility.
1138 == The Samba Team
1139 ======================================================================
1140