WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.6.6
   3                             July 12, 2017
   4                    =============================
   5
   6
   7 This is a security release in order to address the following defect:
   8
   9 o  CVE-2017-11103 (Orpheus' Lyre mutual authentication validation bypass)
  10
  11 =======
  12 Details
  13 =======
  14
  15 o  CVE-2017-11103 (Heimdal):
  16    All versions of Samba from 4.0.0 onwards using embedded Heimdal
  17    Kerberos are vulnerable to a man-in-the-middle attack impersonating
  18    a trusted server, who may gain elevated access to the domain by
  19    returning malicious replication or authorization data.
  20
  21    Samba binaries built against MIT Kerberos are not vulnerable.
  22
  23
  24 Changes since 4.6.5:
  25 ---------------------
  26
  27 o  Jeffrey Altman <jaltman@secure-endpoints.com>
  28    * BUG 12894: CVE-2017-11103: Orpheus' Lyre KDC-REP service name validation
  29
  30
  31 #######################################
  32 Reporting bugs & Development Discussion
  33 #######################################
  34
  35 Please discuss this release on the samba-technical mailing list or by
  36 joining the #samba-technical IRC channel on irc.freenode.net.
  37
  38 If you do report problems then please try to send high quality
  39 feedback. If you don't provide vital information to help us track down
  40 the problem then you will probably be ignored.  All bug reports should
  41 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  42 database (https://bugzilla.samba.org/).
  43
  44
  45 ======================================================================
  46 == Our Code, Our Bugs, Our Responsibility.
  47 == The Samba Team
  48 ======================================================================
  49
  50
  51 Release notes for older releases follow:
  52 ----------------------------------------
  53
  54                    =============================
  55                    Release Notes for Samba 4.6.5
  56                             June 6, 2017
  57                    =============================
  58
  59
  60 This is the latest stable release of the Samba 4.6 release series.
  61
  62
  63 Changes since 4.6.4:
  64 ---------------------
  65
  66 o  Jeremy Allison <jra@samba.org>
  67    * BUG 12804: s3: VFS: Catia: Ensure path name is also converted.
  68
  69 o  Christian Ambach <ambi@samba.org>
  70    * BUG 12765: s3:smbcacls add prompt for password.
  71
  72 o  Ralph Boehme <slow@samba.org>
  73    * BUG 12562: vfs_acl_xattr|tdb: Ensure create mask is at least 0666 if
  74      ignore_system_acls is set.
  75    * BUG 12702: Wrong sid->uid mapping for SIDs residing in sIDHistory.
  76    * BUG 12749: vfs_fruit: lp_case_sensitive() does not return a bool.
  77    * BUG 12766: s3/smbd: Update exclusive oplock optimisation to the lease area.
  78    * BUG 12798: s3/smbd: Fix exclusive lease optimisation.
  79
  80 o  Alexander Bokovoy <ab@samba.org>
  81    * BUG 12751: Allow passing trusted domain password as plain-text to PASSDB
  82      layer.
  83    * BUG 12764: systemd: Fix detection of libsystemd.
  84
  85 o  Amitay Isaacs <amitay@gmail.com>
  86    * BUG 12697: ctdb-readonly: Avoid a tight loop waiting for revoke to
  87      complete.
  88    * BUG 12770: ctdb-logging: Initialize DEBUGLEVEL before changing the value.
  89
  90 o  Shilpa Krishnareddy <skrishnareddy@panzura.com>
  91    * BUG 12756: notify: Fix ordering of events in notifyd.
  92
  93 o  Volker Lendecke <vl@samba.org>
  94    * BUG 12757: idmap_rfc2307: Lookup of more than two SIDs fails.
  95
  96 o  Stefan Metzmacher <metze@samba.org>
  97    * BUG 12767: samba-tool: Let 'samba-tool user syncpasswords' report deletions
  98      immediately.
  99
 100 o  Doug Nazar <nazard@nazar.ca>
 101    * BUG 12760: s3: smbd: inotify_map_mask_to_filter incorrectly indexes an
 102      array.
 103
 104 o  Andreas Schneider <asn@samba.org>
 105    * BUG 12687: vfs_expand_msdfs tries to open the remote address as a file
 106      path.
 107
 108 o  Martin Schwenke <martin@meltin.net>
 109    * BUG 12802: 'ctdb nodestatus' incorrectly displays status for all nodes with
 110      wrong exit code.
 111    * BUG 12814: ctdb-common: Fix crash in logging initialisation.
 112
 113
 114 #######################################
 115 Reporting bugs & Development Discussion
 116 #######################################
 117
 118 Please discuss this release on the samba-technical mailing list or by
 119 joining the #samba-technical IRC channel on irc.freenode.net.
 120
 121 If you do report problems then please try to send high quality
 122 feedback. If you don't provide vital information to help us track down
 123 the problem then you will probably be ignored.  All bug reports should
 124 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 125 database (https://bugzilla.samba.org/).
 126
 127
 128 ======================================================================
 129 == Our Code, Our Bugs, Our Responsibility.
 130 == The Samba Team
 131 ======================================================================
 132
 133
 134 ----------------------------------------------------------------------
 135
 136
 137                    =============================
 138                    Release Notes for Samba 4.6.4
 139                             May 24, 2017
 140                    =============================
 141
 142
 143 This is a security release in order to address the following defect:
 144
 145 o  CVE-2017-7494 (Remote code execution from a writable share)
 146
 147 =======
 148 Details
 149 =======
 150
 151 o  CVE-2017-7494:
 152    All versions of Samba from 3.5.0 onwards are vulnerable to a remote
 153    code execution vulnerability, allowing a malicious client to upload a
 154    shared library to a writable share, and then cause the server to load
 155    and execute it.
 156
 157
 158 Changes since 4.6.3:
 159 ---------------------
 160
 161 o  Volker Lendecke <vl@samba.org>
 162    * BUG 12780: CVE-2017-7494: Avoid remote code execution from a writable
 163      share.
 164
 165
 166 #######################################
 167 Reporting bugs & Development Discussion
 168 #######################################
 169
 170 Please discuss this release on the samba-technical mailing list or by
 171 joining the #samba-technical IRC channel on irc.freenode.net.
 172
 173 If you do report problems then please try to send high quality
 174 feedback. If you don't provide vital information to help us track down
 175 the problem then you will probably be ignored.  All bug reports should
 176 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 177 database (https://bugzilla.samba.org/).
 178
 179
 180 ======================================================================
 181 == Our Code, Our Bugs, Our Responsibility.
 182 == The Samba Team
 183 ======================================================================
 184
 185
 186 ----------------------------------------------------------------------
 187
 188
 189                    =============================
 190                    Release Notes for Samba 4.6.3
 191                            April 25, 2017
 192                    =============================
 193
 194
 195 This is the latest stable release of the Samba 4.6 release series.
 196
 197
 198 Changes since 4.6.2:
 199 --------------------
 200
 201 o  Michael Adam <obnox@samba.org>
 202    * BUG 12743: s3:vfs:shadow_copy2: vfs_shadow_copy2 fails to list snapshots
 203      from shares with GlusterFS backend.
 204
 205 o  Jeremy Allison <jra@samba.org>
 206    * BUG 12559: Fix for Solaris C compiler.
 207    * BUG 12628: s3: locking: Update oplock optimization for the leases era.
 208    * BUG 12693: Make the Solaris C compiler happy.
 209    * BUG 12695: s3: libgpo: Allow skipping GPO objects that don't have the
 210      expected LDAP attributes.
 211    * BUG 12747: Fix buffer overflow caused by wrong use of getgroups.
 212
 213 o  Hanno Boeck <hanno@hboeck.de>
 214    * BUG 12746: lib: debug: Avoid negative array access.
 215    * BUG 12748: cleanupdb: Fix a memory read error.
 216
 217 o  Ralph Boehme <slow@samba.org>
 218    * BUG 7537: streams_xattr and kernel oplocks results in
 219      NT_STATUS_NETWORK_BUSY.
 220    * BUG 11961: winbindd: idmap_autorid allocates ids for unknown SIDs from other
 221      backends.
 222    * BUG 12565: vfs_fruit: Resource fork open request with
 223      flags=O_CREAT|O_RDONLY.
 224    * BUG 12615: manpages/vfs_fruit: Document global options.
 225    * BUG 12624: lib/pthreadpool: Fix a memory leak.
 226    * BUG 12727: Lookup-domain for well-known SIDs on a DC.
 227    * BUG 12728: winbindd: Fix error handling in rpc_lookup_sids().
 228    * BUG 12729: winbindd: Trigger possible passdb_dsdb initialisation.
 229
 230 o  Alexander Bokovoy <ab@samba.org>
 231    * BUG 12611: credentials_krb5: use gss_acquire_cred for client-side GSSAPI
 232      use case.
 233    * BUG 12690: lib/crypto: Implement samba.crypto Python module for RC4.
 234
 235 o  Amitay Isaacs <amitay@gmail.com>
 236    * BUG 12697: ctdb-readonly: Avoid a tight loop waiting for revoke to
 237      complete.
 238    * BUG 12723: ctdb_event monitor command crashes if event is not specified.
 239    * BUG 12733: ctdb-docs: Fix documentation of "-n" option to 'ctdb tool'.
 240
 241 o  Volker Lendecke <vl@samba.org>
 242    * BUG 12558: smbd: Fix smb1 findfirst with DFS.
 243    * BUG 12610: smbd: Do an early exit on negprot failure.
 244    * BUG 12699: winbindd: Fix substitution for 'template homedir'.
 245
 246 o  Stefan Metzmacher <metze@samba.org>
 247    * BUG 12554: s4:kdc: Disable principal based autodetected referral detection.
 248    * BUG 12613: idmap_autorid: Allocate new domain range if the callers knows
 249      the sid is valid.
 250    * BUG 12724: LINKFLAGS_PYEMBED should not contain -L/some/path.
 251    * BUG 12725: PAM auth with WBFLAG_PAM_GET_PWD_POLICY returns wrong policy for
 252      trusted domain.
 253    * BUG 12731: rpcclient: Allow -U'OTHERDOMAIN\user' again.
 254
 255 o  Christof Schmitt <cs@samba.org>
 256    * BUG 12725: winbindd: Fix password policy for pam authentication.
 257
 258 o  Andreas Schneider <asn@samba.org>
 259    * BUG 12554: s3:gse: Correctly handle external trusts with MIT.
 260    * BUG 12611: auth/credentials: Always set the realm if we set the principal
 261      from the ccache.
 262    * BUG 12686: replace: Include sysmacros.h.
 263    * BUG 12687: s3:vfs_expand_msdfs: Do not open the remote address as a file.
 264    * BUG 12704: s3:libsmb: Only print error message if kerberos use is forced.
 265    * BUG 12708: winbindd: Child process crashes when kerberos-authenticating
 266      a user with wrong password.
 267
 268 o  Uri Simchoni <uri@samba.org>
 269    * BUG 12715: vfs_fruit: Office document opens as read-only on macOS due to
 270      CNID semantics.
 271    * BUG 12737: vfs_acl_xattr: Fix failure to get ACL on Linux if memory is
 272      fragmented.
 273
 274
 275 #######################################
 276 Reporting bugs & Development Discussion
 277 #######################################
 278
 279 Please discuss this release on the samba-technical mailing list or by
 280 joining the #samba-technical IRC channel on irc.freenode.net.
 281
 282 If you do report problems then please try to send high quality
 283 feedback. If you don't provide vital information to help us track down
 284 the problem then you will probably be ignored.  All bug reports should
 285 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 286 database (https://bugzilla.samba.org/).
 287
 288
 289 ======================================================================
 290 == Our Code, Our Bugs, Our Responsibility.
 291 == The Samba Team
 292 ======================================================================
 293
 294
 295 ----------------------------------------------------------------------
 296
 297
 298                    =============================
 299                    Release Notes for Samba 4.6.2
 300                            March 31, 2017
 301                    =============================
 302
 303
 304 This is a bug fix release to address a regression introduced by the security
 305 fixes for CVE-2017-2619 (Symlink race allows access outside share definition).
 306 Please see https://bugzilla.samba.org/show_bug.cgi?id=12721 for details.
 307
 308
 309 Changes since 4.6.1:
 310 --------------------
 311
 312 o  Jeremy Allison <jra@samba.org>
 313    * BUG 12721: Fix regression with "follow symlinks = no".
 314
 315
 316 #######################################
 317 Reporting bugs & Development Discussion
 318 #######################################
 319
 320 Please discuss this release on the samba-technical mailing list or by
 321 joining the #samba-technical IRC channel on irc.freenode.net.
 322
 323 If you do report problems then please try to send high quality
 324 feedback. If you don't provide vital information to help us track down
 325 the problem then you will probably be ignored.  All bug reports should
 326 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 327 database (https://bugzilla.samba.org/).
 328
 329
 330 ======================================================================
 331 == Our Code, Our Bugs, Our Responsibility.
 332 == The Samba Team
 333 ======================================================================
 334
 335
 336 ----------------------------------------------------------------------
 337
 338
 339                    =============================
 340                    Release Notes for Samba 4.6.1
 341                            March 23, 2017
 342                    =============================
 343
 344
 345 This is a security release in order to address the following defect:
 346
 347 o  CVE-2017-2619 (Symlink race allows access outside share definition)
 348
 349 =======
 350 Details
 351 =======
 352
 353 o  CVE-2017-2619:
 354    All versions of Samba prior to 4.6.1, 4.5.7, 4.4.11 are vulnerable to
 355    a malicious client using a symlink race to allow access to areas of
 356    the server file system not exported under the share definition.
 357
 358    Samba uses the realpath() system call to ensure when a client requests
 359    access to a pathname that it is under the exported share path on the
 360    server file system.
 361
 362    Clients that have write access to the exported part of the file system
 363    via SMB1 unix extensions or NFS to create symlinks can race the server
 364    by renaming a realpath() checked path and then creating a symlink. If
 365    the client wins the race it can cause the server to access the new
 366    symlink target after the exported share path check has been done. This
 367    new symlink target can point to anywhere on the server file system.
 368
 369    This is a difficult race to win, but theoretically possible. Note that
 370    the proof of concept code supplied wins the race reliably only when
 371    the server is slowed down using the strace utility running on the
 372    server. Exploitation of this bug has not been seen in the wild.
 373
 374
 375 Changes since 4.6.0:
 376 --------------------
 377
 378 o  Jeremy Allison <jra@samba.org>
 379    * BUG 12496: CVE-2017-2619: Symlink race permits opening files outside share
 380      directory.
 381
 382 o  Ralph Boehme <slow@samba.org>
 383    * BUG 12496: CVE-2017-2619: Symlink race permits opening files outside share
 384      directory.
 385
 386
 387 #######################################
 388 Reporting bugs & Development Discussion
 389 #######################################
 390
 391 Please discuss this release on the samba-technical mailing list or by
 392 joining the #samba-technical IRC channel on irc.freenode.net.
 393
 394 If you do report problems then please try to send high quality
 395 feedback. If you don't provide vital information to help us track down
 396 the problem then you will probably be ignored.  All bug reports should
 397 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 398 database (https://bugzilla.samba.org/).
 399
 400
 401 ======================================================================
 402 == Our Code, Our Bugs, Our Responsibility.
 403 == The Samba Team
 404 ======================================================================
 405
 406
 407 ----------------------------------------------------------------------
 408
 409
 410                    ==============================
 411                    Release Notes for Samba 4.6.0
 412                            March 7, 2017
 413                    ==============================
 414
 415
 416 This is the first stable release of Samba 4.6.
 417 Please read the release notes carefully before upgrading.
 418
 419
 420 UPGRADING
 421 =========
 422
 423 ID Mapping
 424 ----------
 425 We discovered that the majority of users have an invalid or incorrect
 426 ID mapping configuration. We implemented checks in the 'testparm' tool to
 427 validate the ID mapping configuration. You should run it and check if it prints
 428 any warnings or errors after upgrading! If it does you should fix them. See the
 429 'IDENTITY MAPPING CONSIDERATIONS' section in the smb.conf manpage.
 430 There are some ID mapping backends which are not allowed to be used for the
 431 default backend. Winbind will no longer start if an invalid backend is
 432 configured as the default backend.
 433
 434 To avoid problems in future we advise all users to run 'testparm' after
 435 changing the smb.conf file!
 436
 437 vfs_fruit option "fruit:resource" spelling correction
 438 -----------------------------------------------------
 439
 440 Due to a spelling error in the vfs_fruit option parsing for the "fruit:resource"
 441 option, users who have set this option in their smb.conf were still using the
 442 default setting "fruit:resource = file" as the parser was looking for the string
 443 "fruit:ressource" (two "s").
 444
 445 After upgrading to this Samba version 4.6, you MUST either remove the option
 446 from your smb.conf or set it to the default "fruit:resource = file", otherwise
 447 your macOS clients will not be able to access the resource fork data.
 448
 449 This version Samba 4.6 accepts both the correct and incorrect spelling, but the
 450 next Samba version 4.7 will not accept the wrong spelling.
 451
 452 Users who were using the wrong spelling "ressource" with two "s" can keep the
 453 setting, but are advised to switch to the correct spelling.
 454
 455 vfs_fruit Netatalk metadata xattr name on *BSD
 456 ----------------------------------------------
 457
 458 Users on *BSD must rename the metadata xattr used by vfs_fruit when
 459 using the default setting "fruit:metadata = netatalk".
 460
 461 Due to a glitch in the Samba xattr API compatibility layer for FreeBSD and a
 462 mistake in vfs_fruit, vfs_fruit ended up using the wrong xattr name when
 463 configured with "fruit:metadata = netatalk" (default). Instead of the correct
 464
 465   org.netatalk.Metadata
 466
 467 it used
 468
 469   netatalk.Metadata
 470
 471 Starting with Samba 4.6 vfs_fruit will use the correct "org.netatalk.Metadata"
 472 which means existing installations must rename this xattrs. For this purpose
 473 Samba now includes a new tool `mvxattr`. See below for further details.
 474
 475
 476 NEW FEATURES/CHANGES
 477 ====================
 478
 479 Kerberos client encryption types
 480 --------------------------------
 481 Some parts of Samba (most notably winbindd) perform Kerberos client
 482 operations based on a Samba-generated krb5.conf file. A new
 483 parameter, "kerberos encryption types" allows configuring the
 484 encryption types set in this file, thereby allowing the user to
 485 enforce strong or legacy encryption in Kerberos exchanges.
 486
 487 The default value of "all" is compatible with previous behavior, allowing
 488 all encryption algorithms to be negotiated. Setting the parameter to "strong"
 489 only allows AES-based algorithms to be negotiated. Setting the parameter to
 490 "legacy" allows only RC4-HMAC-MD5 - the legacy algorithm for Active Directory.
 491 This can solves some corner cases of mixed environments with Server 2003R2 and
 492 newer DCs.
 493
 494 Printing
 495 --------
 496 Support for uploading printer drivers from newer Windows clients (Windows 10)
 497 has been added until our implementation of [MS-PAR] protocol is ready.
 498 Several issues with uploading different printing drivers have been addressed.
 499
 500 The OS Version for the printing server has been increased to announce
 501 Windows Server 2003 R2 SP2. If a driver needs a newer version then you should
 502 check the smb.conf manpage for details.
 503
 504 New option for owner inheritance
 505 --------------------------------
 506 The "inherit owner" smb.conf parameter instructs smbd to set the
 507 owner of files to be the same as the parent directory's owner.
 508 Up until now, this parameter could be set to "yes" or "no".
 509 A new option, "unix only", enables this feature only for the UNIX owner
 510 of the file, not affecting the SID owner in the Windows NT ACL of the
 511 file. This can be used to emulate something very similar to folder quotas.
 512
 513 Multi-process Netlogon support
 514 ------------------------------
 515
 516 The Netlogon server in the Samba AD DC can now run as multiple
 517 processes.  The Netlogon server is a part of the AD DC that handles
 518 NTLM authentication on behalf of domain members, including file
 519 servers, NTLM-authenticated web servers and 802.1x gateways.  The
 520 previous restriction to running as a single process has been removed,
 521 and it will now run in the same process model as the rest of the
 522 'samba' binary.
 523
 524 As part of this change, the NETLOGON service will now run on a distinct
 525 TCP port, rather than being shared with all other RPC services (LSA,
 526 SAMR, DRSUAPI etc).
 527
 528 New options for controlling TCP ports used for RPC services
 529 -----------------------------------------------------------
 530
 531 The new 'rpc server port' option controls the default port used for
 532 RPC services other than Netlogon.  The Netlogon server honours instead
 533 the 'rpc server port:netlogon' option.  The default value for both
 534 these options is the first available port including or after 1024.
 535
 536 AD LDAP and replication performance improvements
 537 ------------------------------------------------
 538
 539 Samba's LDB (the database holding the AD directory tree, as seen via
 540 LDAP) and our DRSUAPI replication code continues to improve,
 541 particularly in respect to the handling of large numbers of objects or
 542 linked attributes.
 543
 544  * We now respect an 'uptodateness vector' which will dramatically
 545    reduce the over-replication of links from new DCs.
 546
 547  * We have also made the parsing of on-disk linked attributes much
 548    more efficient.
 549
 550  * We rely on ldb 1.1.28.  This ldb version has improved memory
 551    handling for ldb search results, improving poorly indexed and
 552    unindexed search result processing speed by around 20%.
 553
 554 DNS improvements
 555 ----------------
 556
 557 The samba-tool dns subcommand is now much more robust and can delete
 558 records in a number of situations where it was not possible to do so
 559 in the past.
 560
 561 On the server side, DNS names are now more strictly validated.
 562
 563 CTDB changes
 564 ------------
 565
 566 * "ctdb event" is a new top-level command for interacting with event scripts
 567
 568   "ctdb event status" replaces "ctdb scriptstatus" - the latter is
 569   maintained for backward compatibility but the output format has been
 570   cleaned up
 571
 572   "ctdb event run" replaces "ctdb eventscript"
 573
 574   "ctdb event script enable" replaces "ctdb enablescript"
 575
 576   "ctdb event script disable" replaces "ctdb disablescript"
 577
 578   The new command "ctdb event script list" lists event scripts.
 579
 580 * CTDB's back-end for running event scripts has been replaced by a
 581   separate, long-running daemon ctdbd_eventd.
 582
 583 * Running ctdb interactively will log to stderr
 584
 585 * CTDB logs now include process id for each process
 586
 587 * CTDB tags log messages differently.  Changes include:
 588
 589   ctdb-recoverd: Messages from CTDB's recovery daemon
 590   ctdb-recovery: Messages from CTDB database recovery
 591   ctdb-eventd: Messages from CTDB's event daemon
 592   ctdb-takeover: Messages from CTDB's public IP takeover subsystem
 593
 594 * The mapping between symbolic and numeric debug levels has changed
 595
 596   Configurations containing numeric debug levels should be updated.
 597   Symbolic debug levels are recommended.  See the DEBUG LEVEL section
 598   of ctdb(7) for details.
 599
 600 * Tunable IPAllocAlgorithm replaces LCP2PublicIPs, DeterministicIPs
 601
 602   See ctdb-tunables(7) for details.
 603
 604 * CTDB's configuration tunables should be consistently set across a cluster
 605
 606   This has always been the cases for most tunables but this fact is
 607   now documented.
 608
 609 * CTDB ships with recovery lock helper call-outs for etcd and Ceph RADOS
 610
 611   To build/install these, use the "--enable-etcd-reclock" and
 612   "--enable-ceph-reclock" configure options.
 613
 614 winbind changes
 615 ---------------
 616
 617 winbind contains code that tries to emulate the group membership calculation
 618 that domain controllers do when a user logs in. This group membership calculation
 619 is a very complex process, in particular for domain trust relationship
 620 situations. Also, in many scenarios it is impossible for winbind to
 621 correctly do this calculation due to access restrictions in the
 622 domains: winbind using its machine account simply does not have the
 623 rights to ask for an arbitrary user's group memberships.
 624
 625 When a user logs in to a Samba server, the domain controller correctly
 626 calculates the user's group memberships authoritatively and makes the
 627 information available to the Samba server. This is the only reliable
 628 way Samba can get informed about the groups a user is member of.
 629
 630 Because of its flakiness, the fallback group membership code is unwished,
 631 and our code pathes try hard to only use of the group memberships
 632 calculated by the domain controller.
 633
 634 However, a lot of admins rely on the fallback behavior in order to support
 635 access for nfs access, ssh public key authentication and passwordless sudo.
 636
 637 That's the reason for changing this back between 4.6.0rc4 and 4.6.0
 638 (See BUG 12612).
 639
 640 The winbind change to simplify the calculation of supplementary groups to make
 641 it more reliable and predictable has been deferred to 4.7 or later.
 642
 643 This means that 'id <username>' without the user having logged in
 644 previously works similar to 4.5.
 645
 646 winbind primary group and nss info
 647 ----------------------------------
 648
 649 With 4.6, it will be possible to optionally use the primary group as
 650 set in the "Unix Attributes" tab for the local unix token of a domain
 651 user.  Before 4.6, the Windows primary group was always chosen as
 652 primary group for the local unix token.
 653
 654 To activate the unix primary group, set
 655
 656 idmap config <DOMAIN> : unix_primary_group = yes
 657
 658 Similarly, set
 659
 660 idmap config <DOMAIN> : unix_nss_info = yes
 661
 662 to retrieve the home directory and login shell from the "Unix
 663 Attributes" of the user. This supersedes the "winbind nss info"
 664 parameter with a per-domain configuration option.
 665
 666 mvxattr
 667 -------
 668
 669 mvxattr is a simple utility to recursively rename extended attributes of all
 670 files and directories in a directory tree.
 671
 672   Usage: mvxattr -s STRING -d STRING PATH [PATH ...]
 673     -s, --from=STRING         xattr source name
 674     -d, --to=STRING           xattr destination name
 675     -l, --follow-symlinks     follow symlinks, the default is to ignore them
 676     -p, --print               print files where the xattr got renamed
 677     -v, --verbose             print files as they are checked
 678     -f, --force               force overwriting of destination xattr
 679
 680   Help options:
 681     -?, --help                Show this help message
 682     --usage                   Display brief usage message
 683
 684 idmap_hash
 685 ----------
 686
 687 The idmap_hash module is marked as deprecated with this release and will be
 688 removed in a future version. See the manpage of the module for details.
 689
 690
 691 smb.conf changes
 692 ================
 693
 694   Parameter Name                Description             Default
 695   --------------                -----------             -------
 696   kerberos encryption types     New                     all
 697   inherit owner                 New option
 698   fruit:resource                Spelling correction
 699   lsa over netlogon             New (deprecated)        no
 700   rpc server port               New                     0
 701
 702
 703 KNOWN ISSUES
 704 ============
 705
 706 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.6#Release_blocking_bugs
 707
 708
 709 CHANGES SINCE 4.6.0rc4
 710 ======================
 711
 712 o  Jeremy Allison <jra@samba.org>
 713    * BUG 12592: Fix several issues found by covscan.
 714    * BUG 12608: s3: smbd: Restart reading the incoming SMB2 fd when the send
 715      queue is drained.
 716
 717 o  Ralph Boehme <slow@samba.org>
 718    * BUG 12427: vfs_fruit doesn't work with fruit:metadata=stream.
 719    * BUG 12526: vfs_fruit: Only veto AppleDouble files if "fruit:resource" is
 720      set to "file".
 721    * BUG 12604: vfs_fruit: Enabling AAPL extensions must be a global switch.
 722
 723 o  Volker Lendecke <vl@samba.org>
 724    * BUG 12612: Re-enable token groups fallback.
 725
 726 o  Stefan Metzmacher <metze@samba.org>
 727    * BUG 9048: Samba4 ldap error codes.
 728    * BUG 12557: gensec:spnego: Add debug message for the failed principal.
 729    * BUG 12605: s3:winbindd: Fix endless forest trust scan.
 730    * BUG 12612: winbindd: Find the domain based on the sid within
 731      wb_lookupusergroups_send().
 732
 733 o  Andreas Schneider <asn@samba.org>
 734    * BUG 12557: s3:librpc: Handle gss_min in gse_get_client_auth_token()
 735      correctly.
 736    * BUG 12582: idmap_hash: Add a deprecation message, improve the idmap_hash
 737      manpage.
 738    * BUG 12592: Fix several issues found by covscan.
 739
 740 o  Martin Schwenke <martin@meltin.net>
 741    * BUG 12592: ctdb-logging: CID 1396883 Dereference null return value
 742      (NULL_RETURNS).
 743
 744
 745 CHANGES SINCE 4.6.0rc3
 746 ======================
 747
 748 o  Jeremy Allison <jra@samba.org>
 749    * BUG 12545: s3: rpc_server/mdssvc: Add attribute "kMDItemContentType".
 750    * BUG 12572: s3: smbd: Don't loop infinitely on bad-symlink resolution.
 751
 752 o  Ralph Boehme <slow@samba.org>
 753    * BUG 12490: vfs_fruit: Correct Netatalk metadata xattr on FreeBSD.
 754    * BUG 12536: s3/smbd: Check for invalid access_mask
 755      smbd_calculate_access_mask().
 756    * BUG 12591: vfs_streams_xattr: use fsp, not base_fsp.
 757
 758 o  Amitay Isaacs <amitay@gmail.com>
 759    * BUG 12580: ctdb-common: Fix use-after-free error in comm_fd_handler().
 760    * BUG 12595: build: Fix generation of CTDB manpages while creating tarball.
 761
 762 o  Bryan Mason <bmason@redhat.com>
 763    * BUG 12575: Modify smbspool_krb5_wrapper to just fall through to smbspool if
 764      AUTH_INFO_REQUIRED is not set or is not "negotiate".
 765
 766 o  Stefan Metzmacher <metze@samba.org>
 767    * BUG 11830: s3:winbindd: Try a NETLOGON connection with noauth over NCACN_NP
 768      against trusted domains.
 769    * BUG 12262: 'net ads testjoin' and smb access fails after winbindd changed the
 770      trust password.
 771    * BUG 12585: librpc/rpc: fix regression in
 772      NT_STATUS_RPC_ENUM_VALUE_OUT_OF_RANGE error mapping.
 773    * BUG 12586: netlogon_creds_cli_LogonSamLogon doesn't work without
 774      netr_LogonSamLogonEx.
 775    * BUG 12587: winbindd child segfaults on connect to an NT4 domain.
 776    * BUG 12588: s3:winbindd: Make sure cm_prepare_connection() only returns OK
 777      with a valid tree connect.
 778    * BUG 12598: winbindd (as member) requires kerberos against trusted ad domain,
 779      while it shouldn't.
 780    * BUG 12601: Backport pytalloc_GenericObject_reference() related changes to
 781      4.6.
 782
 783 o  Garming Sam <garming@catalyst.net.nz>
 784    * BUG 12600: dbchecker: Stop ignoring linked cases where both objects are
 785      alive.
 786
 787 o  Andreas Schneider <asn@samba.org>
 788    * BUG 12571: s3-vfs: Only walk the directory once in open_and_sort_dir().
 789
 790 o  Martin Schwenke <martin@meltin.net>
 791    * BUG 12589: CTDB statd-callout does not cause grace period when
 792      CTDB_NFS_CALLOUT="".
 793    * BUG 12595: ctdb-build: Fix RPM build.
 794
 795
 796 CHANGES SINCE 4.6.0rc2
 797 ======================
 798
 799 o  Jeremy Allison <jra@samba.org>
 800    * BUG 12499: s3: vfs: dirsort doesn't handle opendir of "." correctly.
 801    * BUG 12546: s3: VFS: vfs_streams_xattr.c: Make streams_xattr_open() store
 802      the same path as streams_xattr_recheck().
 803    * BUG 12531: Make vfs_shadow_copy2 cope with server changing directories.
 804
 805 o  Andrew Bartlett <abartlet@samba.org>
 806    * BUG 12543: samba-tool: Correct handling of default value for use_ntvfs and
 807      use_xattrs.
 808    * BUG 12573: Samba < 4.7 does not know about compatibleFeatures and
 809      requiredFeatures.
 810    * BUG 12577: 'samba-tool dbcheck' gives errors on one-way links after a
 811      rename.
 812
 813 o  Ralph Boehme <slow@samba.org>
 814    * BUG 12184: s3/rpc_server: Shared rpc modules loading.
 815    * BUG 12520: Ensure global "smb encrypt = off" is effective.
 816    * BUG 12524: s3/rpc_server: Move rpc_modules.c to its own subsystem.
 817    * BUG 12541: vfs_fruit: checks wrong AAPL config state and so always uses
 818      readdirattr.
 819
 820 o  Volker Lendecke <vl@samba.org>
 821    * BUG 12551: smbd: Fix "map acl inherit" = yes.
 822
 823 o  Stefan Metzmacher <metze@samba.org>
 824    * BUG 12398: Replication with DRSUAPI_DRS_CRITICAL_ONLY and
 825      DRSUAPI_DRS_GET_ANC results in WERR_DS_DRA_MISSING_PARENT S
 826    * BUG 12540: s3:smbd: allow "server min protocol = SMB3_00" to go via "SMB
 827      2.???" negprot.
 828
 829 o  John Mulligan <jmulligan@nasuni.com>
 830    * BUG 12542: docs: Improve description of "unix_primary_group" parameter in
 831      idmap_ad manpage.
 832
 833 o  Andreas Schneider <asn@samba.org>
 834    * BUG 12552: waf: Do not install the unit test binary for krb5samba.
 835
 836 o  Amitay Isaacs <amitay@gmail.com>
 837    * BUG 12547: ctdb-build: Install CTDB tests correctly from toplevel.
 838    * BUG 12549: ctdb-common: ioctl(.. FIONREAD ..) returns an int value.
 839
 840 o  Garming Sam <garming@catalyst.net.nz>
 841    * BUG 12577: 'samba-tool dbcheck' gives errors on one-way links after a
 842      rename.
 843
 844 o  Uri Simchoni <uri@samba.org>
 845    * BUG 12529: waf: Backport finding of pkg-config.
 846
 847
 848 CHANGES SINCE 4.6.0rc1
 849 ======================
 850
 851 o  Amitay Isaacs <amitay@gmail.com>
 852    * BUG 12469: CTDB lock helper getting stuck trying to lock a record.
 853    * BUG 12500: ctdb-common: Fix a bug in packet reading code for generic socket
 854      I/O.
 855    * BUG 12510: sock_daemon_test 4 crashes with SEGV.
 856    * BUG 12513: ctdb-daemon: Remove stale eventd socket.
 857
 858 o  Björn Jacke <bj@sernet.de>
 859    * BUG 12535: vfs_default: Unlock the right file in copy chunk.
 860
 861 o  Volker Lendecke <vl@samba.org>
 862    * BUG 12509: messaging: Fix dead but not cleaned-up-yet destination sockets.
 863    * BUG 12538: Backport winbind fixes.
 864
 865 o  Stefan Metzmacher <metze@samba.org>
 866    * BUG 12501: s3:winbindd: talloc_steal the extra_data in
 867      winbindd_list_users_recv().
 868
 869 o  Martin Schwenke <martin@meltin.net>
 870    * BUG 12511: ctdb-takeover: Handle case where there are no RELEASE_IPs to
 871      send.
 872    * BUG 12512: ctdb-scripts: Fix remaining uses of "ctdb gratiousarp".
 873    * BUG 12516: ctdb-scripts: /etc/iproute2/rt_tables gets populated with multiple
 874      'default' entries.
 875
 876
 877 #######################################
 878 Reporting bugs & Development Discussion
 879 #######################################
 880
 881 Please discuss this release on the samba-technical mailing list or by
 882 joining the #samba-technical IRC channel on irc.freenode.net.
 883
 884 If you do report problems then please try to send high quality
 885 feedback. If you don't provide vital information to help us track down
 886 the problem then you will probably be ignored.  All bug reports should
 887 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 888 database (https://bugzilla.samba.org/).
 889
 890
 891 ======================================================================
 892 == Our Code, Our Bugs, Our Responsibility.
 893 == The Samba Team
 894 ======================================================================
 895