WHATSNEW.txt

   1                    ===============================
   2                    Release Notes for Samba 4.13.11
   3                          September 07, 2021
   4                    ===============================
   5
   6
   7 This is the latest stable release of the Samba 4.13 release series.
   8
   9
  10 Changes since 4.13.10
  11 ---------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 14769: smbd panic on force-close share during offload write.
  15
  16 o  Ralph Boehme <slow@samba.org>
  17    * BUG 14731: Fix returned attributes on fake quota file handle and avoid
  18      hitting the VFS.
  19    * BUG 14783: smbd "deadtime" parameter doesn't work anymore.
  20    * BUG 14787: net conf list crashes when run as normal user.
  21
  22 o  Stefan Metzmacher <metze@samba.org>
  23    * BUG 14607: Work around special SMB2 READ response behavior of NetApp Ontap
  24      7.3.7.
  25    * BUG 14793: Start the SMB encryption as soon as possible.
  26
  27 o  Andreas Schneider <asn@samba.org>
  28    * BUG 14792: Winbind should not start if the socket path for the privileged
  29      pipe is too long.
  30
  31
  32 #######################################
  33 Reporting bugs & Development Discussion
  34 #######################################
  35
  36 Please discuss this release on the samba-technical mailing list or by
  37 joining the #samba-technical IRC channel on irc.freenode.net.
  38
  39 If you do report problems then please try to send high quality
  40 feedback. If you don't provide vital information to help us track down
  41 the problem then you will probably be ignored.  All bug reports should
  42 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  43 database (https://bugzilla.samba.org/).
  44
  45
  46 ======================================================================
  47 == Our Code, Our Bugs, Our Responsibility.
  48 == The Samba Team
  49 ======================================================================
  50
  51
  52 Release notes for older releases follow:
  53 ----------------------------------------
  54
  55
  56                    ===============================
  57                    Release Notes for Samba 4.13.10
  58                             July 14, 2021
  59                    ===============================
  60
  61
  62 This is the latest stable release of the Samba 4.13 release series.
  63
  64
  65 Changes since 4.13.9
  66 --------------------
  67
  68 o  Jeremy Allison <jra@samba.org>
  69    * BUG 14708: s3: smbd: Ensure POSIX default ACL is mapped into returned
  70      Windows ACL for directory handles.
  71    * BUG 14721: Take a copy to make sure we don't reference free'd memory.
  72    * BUG 14722: s3: lib: Fix talloc heirarcy error in parent_smb_fname().
  73    * BUG 14736: s3: smbd: Remove erroneous TALLOC_FREE(smb_fname_parent) in
  74      change_file_owner_to_parent() error path.
  75
  76 o  Andrew Bartlett <abartlet@samba.org>
  77    * BUG 14575: samba-tool: Give better error information when the
  78      'domain backup restore' fails with a duplicate SID.
  79
  80 o  Ralph Boehme <slow@samba.org>
  81    * BUG 14714: smbd: Correctly initialize close timestamp fields.
  82    * BUG 14740: Spotlight RPC service doesn't work with vfs_glusterfs.
  83
  84 o  Volker Lendecke <vl@samba.org>
  85    * BUG 14475: ctdb: Fix a crash in run_proc_signal_handler().
  86
  87 o  Stefan Metzmacher <metze@samba.org>
  88    * BUG 14750: gensec_krb5: Restore ipv6 support for kpasswd.
  89    * BUG 14752: smbXsrv_{open,session,tcon}: Protect
  90      smbXsrv_{open,session,tcon}_global_traverse_fn against invalid records.
  91
  92 o  Joseph Sutton <josephsutton@catalyst.net.nz>
  93    * BUG 14027: samba-tool domain backup offline doesn't work against bind DLZ
  94      backend.
  95    * BUG 14669: netcmd: Use next_free_rid() function to calculate a SID for
  96      restoring a backup.
  97
  98
  99 #######################################
 100 Reporting bugs & Development Discussion
 101 #######################################
 102
 103 Please discuss this release on the samba-technical mailing list or by
 104 joining the #samba-technical IRC channel on irc.freenode.net.
 105
 106 If you do report problems then please try to send high quality
 107 feedback. If you don't provide vital information to help us track down
 108 the problem then you will probably be ignored.  All bug reports should
 109 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 110 database (https://bugzilla.samba.org/).
 111
 112
 113 ======================================================================
 114 == Our Code, Our Bugs, Our Responsibility.
 115 == The Samba Team
 116 ======================================================================
 117
 118
 119 ----------------------------------------------------------------------
 120
 121
 122                    ==============================
 123                    Release Notes for Samba 4.13.9
 124                             May 11, 2021
 125                    ==============================
 126
 127
 128 This is the latest stable release of the Samba 4.13 release series.
 129
 130
 131 Changes since 4.13.8
 132 --------------------
 133
 134 o  Jeremy Allison <jra@samba.org>
 135    * BUG 14696: s3: smbd: SMB1 SMBsplwr doesn't send a reply packet on success.
 136
 137 o  Andrew Bartlett <abartlet@samba.org>
 138    * BUG 14689: Add documentation for dsdb_group_audit and dsdb_group_json_audit
 139      to "log level", synchronise "log level" in smb.conf with the code.
 140
 141 o  Ralph Boehme <slow@samba.org>
 142    * BUG 14672: Fix smbd panic when two clients open same file.
 143    * BUG 14675: Fix memory leak in the RPC server.
 144    * BUG 14679: s3: smbd: Fix deferred renames.
 145
 146 o  Samuel Cabrero <scabrero@samba.org>
 147    * BUG 14675: s3-iremotewinspool: Set the per-request memory context.
 148
 149 o  Volker Lendecke <vl@samba.org>
 150    * BUG 14675: rpc_server3: Fix a memleak for internal pipes.
 151
 152 o  Stefan Metzmacher <metze@samba.org>
 153    * BUG 11899: third_party: Update socket_wrapper to version 1.3.2.
 154    * BUG 14640: third_party: Update socket_wrapper to version 1.3.3.
 155
 156
 157 o  Christof Schmitt <cs@samba.org>
 158    * BUG 14663: idmap_rfc2307 and idmap_nss return wrong mapping for uid/gid
 159      conflict.
 160
 161 o  Martin Schwenke <martin@meltin.net
 162    * BUG 14288: Fix the build on OmniOS.
 163
 164
 165 #######################################
 166 Reporting bugs & Development Discussion
 167 #######################################
 168
 169 Please discuss this release on the samba-technical mailing list or by
 170 joining the #samba-technical IRC channel on irc.freenode.net.
 171
 172 If you do report problems then please try to send high quality
 173 feedback. If you don't provide vital information to help us track down
 174 the problem then you will probably be ignored.  All bug reports should
 175 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 176 database (https://bugzilla.samba.org/).
 177
 178
 179 ======================================================================
 180 == Our Code, Our Bugs, Our Responsibility.
 181 == The Samba Team
 182 ======================================================================
 183
 184
 185 ----------------------------------------------------------------------
 186
 187
 188                    ==============================
 189                    Release Notes for Samba 4.13.8
 190                            April 29, 2021
 191                    ==============================
 192
 193
 194 This is a security release in order to address the following defect:
 195
 196 o CVE-2021-20254: Negative idmap cache entries can cause incorrect group entries
 197   in the Samba file server process token.
 198
 199
 200 =======
 201 Details
 202 =======
 203
 204 o  CVE-2021-20254:
 205    The Samba smbd file server must map Windows group identities (SIDs) into unix
 206    group ids (gids). The code that performs this had a flaw that could allow it
 207    to read data beyond the end of the array in the case where a negative cache
 208    entry had been added to the mapping cache. This could cause the calling code
 209    to return those values into the process token that stores the group
 210    membership for a user.
 211
 212    Most commonly this flaw caused the calling code to crash, but an alert user
 213    (Peter Eriksson, IT Department, Linköping University) found this flaw by
 214    noticing an unprivileged user was able to delete a file within a network
 215    share that they should have been disallowed access to.
 216
 217    Analysis of the code paths has not allowed us to discover a way for a
 218    remote user to be able to trigger this flaw reproducibly or on demand,
 219    but this CVE has been issued out of an abundance of caution.
 220
 221
 222 Changes since 4.13.7
 223 --------------------
 224
 225 o  Volker Lendecke <vl@samba.org>
 226    * BUG 14571: CVE-2021-20254: Fix buffer overrun in sids_to_unixids().
 227
 228
 229 #######################################
 230 Reporting bugs & Development Discussion
 231 #######################################
 232
 233 Please discuss this release on the samba-technical mailing list or by
 234 joining the #samba-technical IRC channel on irc.freenode.net.
 235
 236 If you do report problems then please try to send high quality
 237 feedback. If you don't provide vital information to help us track down
 238 the problem then you will probably be ignored.  All bug reports should
 239 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 240 database (https://bugzilla.samba.org/).
 241
 242
 243 ======================================================================
 244 == Our Code, Our Bugs, Our Responsibility.
 245 == The Samba Team
 246 ======================================================================
 247
 248
 249 ----------------------------------------------------------------------
 250
 251
 252                    ==============================
 253                    Release Notes for Samba 4.13.7
 254                            March 24, 2021
 255                    ==============================
 256
 257
 258 This is a follow-up release to depend on the correct ldb version. This is only
 259 needed when building against a system ldb library.
 260
 261 This is a security release in order to address the following defects:
 262
 263 o CVE-2020-27840: Heap corruption via crafted DN strings.
 264 o CVE-2021-20277: Out of bounds read in AD DC LDAP server.
 265
 266
 267 =======
 268 Details
 269 =======
 270
 271 o  CVE-2020-27840:
 272    An anonymous attacker can crash the Samba AD DC LDAP server by sending easily
 273    crafted DNs as part of a bind request. More serious heap corruption is likely
 274    also possible.
 275
 276 o  CVE-2021-20277:
 277    User-controlled LDAP filter strings against the AD DC LDAP server may crash
 278    the LDAP server.
 279
 280 For more details, please refer to the security advisories.
 281
 282
 283 Changes since 4.13.6
 284 --------------------
 285
 286 o  Release with dependency on ldb version 2.2.1.
 287
 288
 289 #######################################
 290 Reporting bugs & Development Discussion
 291 #######################################
 292
 293 Please discuss this release on the samba-technical mailing list or by
 294 joining the #samba-technical IRC channel on irc.freenode.net.
 295
 296 If you do report problems then please try to send high quality
 297 feedback. If you don't provide vital information to help us track down
 298 the problem then you will probably be ignored.  All bug reports should
 299 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 300 database (https://bugzilla.samba.org/).
 301
 302
 303 ======================================================================
 304 == Our Code, Our Bugs, Our Responsibility.
 305 == The Samba Team
 306 ======================================================================
 307
 308
 309 ----------------------------------------------------------------------
 310
 311
 312                    ==============================
 313                    Release Notes for Samba 4.13.6
 314                            March 24, 2021
 315                    ==============================
 316
 317
 318 This is a security release in order to address the following defects:
 319
 320 o CVE-2020-27840: Heap corruption via crafted DN strings.
 321 o CVE-2021-20277: Out of bounds read in AD DC LDAP server.
 322
 323
 324 =======
 325 Details
 326 =======
 327
 328 o  CVE-2020-27840:
 329    An anonymous attacker can crash the Samba AD DC LDAP server by sending easily
 330    crafted DNs as part of a bind request. More serious heap corruption is likely
 331    also possible.
 332
 333 o  CVE-2021-20277:
 334    User-controlled LDAP filter strings against the AD DC LDAP server may crash
 335    the LDAP server.
 336
 337 For more details, please refer to the security advisories.
 338
 339
 340 Changes since 4.13.5
 341 --------------------
 342
 343 o  Andrew Bartlett <abartlet@samba.org>
 344    * BUG 14655: CVE-2021-20277: Fix out of bounds read in ldb_handler_fold.
 345
 346 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 347    * BUG 14595: CVE-2020-27840: Fix unauthenticated remote heap corruption via
 348      bad DNs.
 349    * BUG 14655: CVE-2021-20277: Fix out of bounds read in ldb_handler_fold.
 350
 351
 352 #######################################
 353 Reporting bugs & Development Discussion
 354 #######################################
 355
 356 Please discuss this release on the samba-technical mailing list or by
 357 joining the #samba-technical IRC channel on irc.freenode.net.
 358
 359 If you do report problems then please try to send high quality
 360 feedback. If you don't provide vital information to help us track down
 361 the problem then you will probably be ignored.  All bug reports should
 362 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 363 database (https://bugzilla.samba.org/).
 364
 365
 366 ======================================================================
 367 == Our Code, Our Bugs, Our Responsibility.
 368 == The Samba Team
 369 ======================================================================
 370
 371
 372 ----------------------------------------------------------------------
 373
 374
 375                    ==============================
 376                    Release Notes for Samba 4.13.5
 377                            March 09, 2021
 378                    ==============================
 379
 380
 381 This is the latest stable release of the Samba 4.13 release series.
 382
 383
 384 Changes since 4.13.4
 385 --------------------
 386
 387 o  Trever L. Adams <trever.adams@gmail.com>
 388    * BUG 14634: s3:modules:vfs_virusfilter: Recent talloc changes cause infinite
 389      start-up failure.
 390
 391 o  Jeremy Allison <jra@samba.org>
 392    * BUG 13992: s3: libsmb: Add missing cli_tdis() in error path if encryption
 393      setup failed on temp proxy connection.
 394    * BUG 14604: smbd: In conn_force_tdis_done() when forcing a connection closed
 395      force a full reload of services.
 396
 397 o  Andrew Bartlett <abartlet@samba.org>
 398    * BUG 14593: dbcheck: Check Deleted Objects and reduce noise in reports about
 399      expired tombstones.
 400
 401 o  Ralph Boehme <slow@samba.org
 402    * BUG 14503: s3: Fix fcntl waf configure check.
 403    * BUG 14602: s3/auth: Implement "winbind:ignore domains".
 404    * BUG 14617: smbd: Use fsp->conn->session_info for the initial
 405      delete-on-close token.
 406
 407 o  Peter Eriksson <pen@lysator.liu.se>
 408    * BUG 14648: s3: VFS: nfs4_acls. Add missing TALLOC_FREE(frame) in error
 409      path.
 410
 411 o  Björn Jacke <bj@sernet.de>
 412    * BUG 14624: classicupgrade: Treat old never expires value right.
 413
 414 o  Volker Lendecke <vl@samba.org>
 415    * BUG 14636: g_lock: Fix uninitalized variable reads.
 416
 417 o  Stefan Metzmacher <metze@samba.org>
 418    * BUG 13898: s3:pysmbd: Fix fd leak in py_smbd_create_file().
 419
 420 o  Andreas Schneider <asn@samba.org>
 421    * BUG 14625: lib:util: Avoid free'ing our own pointer.
 422
 423 o  Paul Wise <pabs3@bonedaddy.net>
 424    * BUG 12505: HEIMDAL: krb5_storage_free(NULL) should work.
 425
 426
 427 #######################################
 428 Reporting bugs & Development Discussion
 429 #######################################
 430
 431 Please discuss this release on the samba-technical mailing list or by
 432 joining the #samba-technical IRC channel on irc.freenode.net.
 433
 434 If you do report problems then please try to send high quality
 435 feedback. If you don't provide vital information to help us track down
 436 the problem then you will probably be ignored.  All bug reports should
 437 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 438 database (https://bugzilla.samba.org/).
 439
 440
 441 ======================================================================
 442 == Our Code, Our Bugs, Our Responsibility.
 443 == The Samba Team
 444 ======================================================================
 445
 446
 447 ----------------------------------------------------------------------
 448
 449
 450                    ==============================
 451                    Release Notes for Samba 4.13.4
 452                           January 26, 2021
 453                    ==============================
 454
 455
 456 This is the latest stable release of the Samba 4.13 release series.
 457
 458
 459 Changes since 4.13.3
 460 --------------------
 461
 462 o  Jeremy Allison <jra@samba.org>
 463    * BUG 14607: Work around special SMB2 IOCTL response behavior of NetApp Ontap
 464      7.3.7.
 465    * BUG 14612: Temporary DFS share setup doesn't set case parameters in the
 466      same way as a regular share definition does.
 467
 468 o  Dimitry Andric <dimitry@andric.com>
 469    * BUG 14605: lib: Avoid declaring zero-length VLAs in various messaging
 470      functions.
 471
 472 o  Andrew Bartlett <abartlet@samba.org>
 473    * BUG 14579: Do not create an empty DB when accessing a sam.ldb.
 474
 475 o  Ralph Boehme <slow@samba.org>
 476    * BUG 14596: vfs_fruit may close wrong backend fd.
 477    * BUG 14612: Temporary DFS share setup doesn't set case parameters in the
 478      same way as a regular share definition does.
 479
 480 o  Arne Kreddig <arne@kreddig.net>
 481    * BUG 14606: vfs_virusfilter: Allocate separate memory for config char*.
 482
 483 o  Stefan Metzmacher <metze@samba.org>
 484    * BUG 14596: vfs_fruit may close wrong backend fd.
 485    * BUG 14607: Work around special SMB2 IOCTL response behavior of NetApp Ontap
 486      7.3.7.
 487
 488 o  Andreas Schneider <asn@samba.org>
 489    * BUG 14601: The cache directory for the user gencache should be created
 490      recursively.
 491
 492 o  Martin Schwenke <martin@meltin.net>
 493    * BUG 14594: Be more flexible with repository names in CentOS 8 test
 494      environments.
 495
 496
 497 #######################################
 498 Reporting bugs & Development Discussion
 499 #######################################
 500
 501 Please discuss this release on the samba-technical mailing list or by
 502 joining the #samba-technical IRC channel on irc.freenode.net.
 503
 504 If you do report problems then please try to send high quality
 505 feedback. If you don't provide vital information to help us track down
 506 the problem then you will probably be ignored.  All bug reports should
 507 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 508 database (https://bugzilla.samba.org/).
 509
 510
 511 ======================================================================
 512 == Our Code, Our Bugs, Our Responsibility.
 513 == The Samba Team
 514 ======================================================================
 515
 516
 517 ----------------------------------------------------------------------
 518
 519
 520                    ==============================
 521                    Release Notes for Samba 4.13.3
 522                           December 15, 2020
 523                    ==============================
 524
 525
 526 This is the latest stable release of the Samba 4.13 release series.
 527
 528
 529 Changes since 4.13.2
 530 --------------------
 531
 532 o  Jeremy Allison <jra@samba.org>
 533    * BUG 14210: libcli: smb2: Never print length if smb2_signing_key_valid()
 534      fails for crypto blob.
 535    * BUG 14486: s3: modules: gluster. Fix the error I made in preventing talloc
 536      leaks from a function.
 537    * BUG 14515: s3: smbd: Don't overwrite contents of fsp->aio_requests[0] with
 538      NULL via TALLOC_FREE().
 539    * BUG 14568: s3: spoolss: Make parameters in call to user_ok_token() match
 540      all other uses.
 541    * BUG 14590: s3: smbd: Quiet log messages from usershares for an unknown
 542      share.
 543
 544 o  Ralph Boehme <slow@samba.org>
 545    * BUG 14248: samba process does not honor max log size.
 546    * BUG 14587: vfs_zfsacl: Add missing inherited flag on hidden "magic"
 547      everyone@ ACE.
 548
 549 o  Isaac Boukris <iboukris@gmail.com>
 550    * BUG 13124: s3-libads: Pass timeout to open_socket_out in ms.
 551
 552 o  Günther Deschner <gd@samba.org>
 553    * BUG 14486: s3-vfs_glusterfs: Always disable write-behind translator.
 554
 555 o  Volker Lendecke <vl@samba.org>
 556    * BUG 14517: smbclient: Fix recursive mget.
 557    * BUG 14581: clitar: Use do_list()'s recursion in clitar.c.
 558
 559 o  Anoop C S <anoopcs@samba.org>
 560    * BUG 14486: manpages/vfs_glusterfs: Mention silent skipping of write-behind
 561      translator.
 562    * BUG 14573: vfs_shadow_copy2: Preserve all open flags assuming ROFS.
 563
 564 o  Jones Syue <jonessyue@qnap.com>
 565    * BUG 14514: interface: Fix if_index is not parsed correctly.
 566
 567
 568 #######################################
 569 Reporting bugs & Development Discussion
 570 #######################################
 571
 572 Please discuss this release on the samba-technical mailing list or by
 573 joining the #samba-technical IRC channel on irc.freenode.net.
 574
 575 If you do report problems then please try to send high quality
 576 feedback. If you don't provide vital information to help us track down
 577 the problem then you will probably be ignored.  All bug reports should
 578 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 579 database (https://bugzilla.samba.org/).
 580
 581
 582 ======================================================================
 583 == Our Code, Our Bugs, Our Responsibility.
 584 == The Samba Team
 585 ======================================================================
 586
 587
 588 ----------------------------------------------------------------------                   ==============================
 589                    Release Notes for Samba 4.13.2
 590                           November 03, 2020
 591                    ==============================
 592
 593
 594 This is the latest stable release of the Samba 4.13 release series.
 595
 596 Major enhancements include:
 597   o BUG 14537: ctdb-common: Avoid aliasing errors during code optimization.
 598   o BUG 14486: vfs_glusterfs: Avoid data corruption with the write-behind
 599                translator.
 600
 601
 602 =======
 603 Details
 604 =======
 605
 606 The GlusterFS write-behind performance translator, when used with Samba, could
 607 be a source of data corruption. The translator, while processing a write call,
 608 immediately returns success but continues writing the data to the server in the
 609 background. This can cause data corruption when two clients relying on Samba to
 610 provide data consistency are operating on the same file.
 611
 612 The write-behind translator is enabled by default on GlusterFS.
 613 The vfs_glusterfs plugin will check for the presence of the translator and
 614 refuse to connect if detected. Please disable the write-behind translator for
 615 the GlusterFS volume to allow the plugin to connect to the volume.
 616
 617
 618 Changes since 4.13.1
 619 --------------------
 620
 621 o  Jeremy Allison <jra@samba.org>
 622    * BUG 14486: s3: modules: vfs_glusterfs: Fix leak of char
 623      **lines onto mem_ctx on return.
 624
 625 o  Ralph Boehme <slow@samba.org>
 626    * BUG 14471: RN: vfs_zfsacl: Only grant DELETE_CHILD if ACL tag is special.
 627
 628 o  Alexander Bokovoy <ab@samba.org>
 629    * BUG 14538: smb.conf.5: Add clarification how configuration changes
 630      reflected by Samba.
 631    * BUG 14552: daemons: Report status to systemd even when running in
 632      foreground.
 633    * BUG 14553: DNS Resolver: Support both dnspython before and after 2.0.0.
 634
 635 o  Günther Deschner <gd@samba.org>
 636    * BUG 14486: s3-vfs_glusterfs: Refuse connection when write-behind xlator is
 637      present.
 638
 639 o  Amitay Isaacs <amitay@gmail.com>
 640    * BUG 14487: provision: Add support for BIND 9.16.x.
 641    * BUG 14537: ctdb-common: Avoid aliasing errors during code optimization.
 642    * BUG 14541: libndr: Avoid assigning duplicate versions to symbols.
 643
 644 o  Björn Jacke <bjacke@samba.org>
 645    * BUG 14522: docs: Fix default value of spoolss:architecture.
 646
 647 o  Laurent Menase <laurent.menase@hpe.com>
 648    * BUG 14388: winbind: Fix a memleak.
 649
 650 o  Stefan Metzmacher <metze@samba.org>
 651    * BUG 14531: s4:dsdb:acl_read: Implement "List Object" mode feature.
 652
 653 o  Sachin Prabhu <sprabhu@redhat.com>
 654    * BUG 14486: docs-xml/manpages: Add warning about write-behind translator for
 655      vfs_glusterfs.
 656
 657 o  Khem Raj <raj.khem@gmail.com>
 658    * nsswitch/nsstest.c: Avoid nss function conflicts with glibc nss.h.
 659
 660 o  Anoop C S <anoopcs@samba.org>
 661    * BUG 14530: vfs_shadow_copy2: Avoid closing snapsdir twice.
 662
 663 o  Andreas Schneider <asn@samba.org>
 664    * BUG 14547: third_party: Update resolv_wrapper to version 1.1.7.
 665    * BUG 14550: examples:auth: Do not install example plugin.
 666
 667 o  Martin Schwenke <martin@meltin.net>
 668    * BUG 14513: ctdb-recoverd: Drop unnecessary and broken code.
 669
 670 o  Andrew Walker <awalker@ixsystems.com>
 671    * BUG 14471: RN: vfs_zfsacl: Only grant DELETE_CHILD if ACL tag is special.
 672
 673
 674 #######################################
 675 Reporting bugs & Development Discussion
 676 #######################################
 677
 678 Please discuss this release on the samba-technical mailing list or by
 679 joining the #samba-technical IRC channel on irc.freenode.net.
 680
 681 If you do report problems then please try to send high quality
 682 feedback. If you don't provide vital information to help us track down
 683 the problem then you will probably be ignored.  All bug reports should
 684 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 685 database (https://bugzilla.samba.org/).
 686
 687
 688 ======================================================================
 689 == Our Code, Our Bugs, Our Responsibility.
 690 == The Samba Team
 691 ======================================================================
 692
 693
 694 ----------------------------------------------------------------------
 695
 696
 697                    ==============================
 698                    Release Notes for Samba 4.13.1
 699                           October 29, 2020
 700                    ==============================
 701
 702
 703 This is a security release in order to address the following defects:
 704
 705 o CVE-2020-14318: Missing handle permissions check in SMB1/2/3 ChangeNotify.
 706 o CVE-2020-14323: Unprivileged user can crash winbind.
 707 o CVE-2020-14383: An authenticated user can crash the DCE/RPC DNS with easily
 708                   crafted records.
 709
 710
 711 =======
 712 Details
 713 =======
 714
 715 o  CVE-2020-14318:
 716    The SMB1/2/3 protocols have a concept of "ChangeNotify", where a client can
 717    request file name notification on a directory handle when a condition such as
 718    "new file creation" or "file size change" or "file timestamp update" occurs.
 719
 720    A missing permissions check on a directory handle requesting ChangeNotify
 721    meant that a client with a directory handle open only for
 722    FILE_READ_ATTRIBUTES (minimal access rights) could be used to obtain change
 723    notify replies from the server. These replies contain information that should
 724    not be available to directory handles open for FILE_READ_ATTRIBUTE only.
 725
 726 o  CVE-2020-14323:
 727    winbind in version 3.6 and later implements a request to translate multiple
 728    Windows SIDs into names in one request. This was done for performance
 729    reasons: The Microsoft RPC call domain controllers offer to do this
 730    translation, so it was an obvious extension to also offer this batch
 731    operation on the winbind unix domain stream socket that is available to local
 732    processes on the Samba server.
 733
 734    Due to improper input validation a hand-crafted packet can make winbind
 735    perform a NULL pointer dereference and thus crash.
 736
 737 o  CVE-2020-14383:
 738    Some DNS records (such as MX and NS records) usually contain data in the
 739    additional section. Samba's dnsserver RPC pipe (which is an administrative
 740    interface not used in the DNS server itself) made an error in handling the
 741    case where there are no records present: instead of noticing the lack of
 742    records, it dereferenced uninitialised memory, causing the RPC server to
 743    crash. This RPC server, which also serves protocols other than dnsserver,
 744    will be restarted after a short delay, but it is easy for an authenticated
 745    non-admin attacker to crash it again as soon as it returns. The Samba DNS
 746    server itself will continue to operate, but many RPC services will not.
 747
 748 For more details, please refer to the security advisories.
 749
 750
 751 Changes since 4.13.0
 752 --------------------
 753
 754 o  Jeremy Allison <jra@samba.org>
 755    * BUG 14434: CVE-2020-14318: s3: smbd: Ensure change notifies can't get set
 756      unless the directory handle is open for SEC_DIR_LIST.
 757
 758 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 759    * BUG 12795: CVE-2020-14383: Remote crash after adding NS or MX records using
 760      'samba-tool'.
 761    * BUG 14472: CVE-2020-14383: Remote crash after adding MX records.
 762
 763 o  Volker Lendecke <vl@samba.org>
 764    * BUG 14436: CVE-2020-14323: winbind: Fix invalid lookupsids DoS.
 765
 766
 767 #######################################
 768 Reporting bugs & Development Discussion
 769 #######################################
 770
 771 Please discuss this release on the samba-technical mailing list or by
 772 joining the #samba-technical IRC channel on irc.freenode.net.
 773
 774 If you do report problems then please try to send high quality
 775 feedback. If you don't provide vital information to help us track down
 776 the problem then you will probably be ignored.  All bug reports should
 777 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 778 database (https://bugzilla.samba.org/).
 779
 780
 781 ======================================================================
 782 == Our Code, Our Bugs, Our Responsibility.
 783 == The Samba Team
 784 ======================================================================
 785
 786
 787 ----------------------------------------------------------------------
 788
 789
 790                    ==============================
 791                    Release Notes for Samba 4.13.0
 792                           September 22, 2020
 793                    ==============================
 794
 795
 796 This is the first stable release of the Samba 4.13 release series.
 797 Please read the release notes carefully before upgrading.
 798
 799
 800 ZeroLogon
 801 =========
 802
 803 Please avoid to set "server schannel = no" and "server schannel= auto" on all
 804 Samba domain controllers due to the wellknown ZeroLogon issue.
 805
 806 For details please see
 807 https://www.samba.org/samba/security/CVE-2020-1472.html.
 808
 809
 810 NEW FEATURES/CHANGES
 811 ====================
 812
 813 Python 3.6 or later required
 814 ----------------------------
 815
 816 Samba's minimum runtime requirement for python was raised to Python
 817 3.5 with samba 4.12.  Samba 4.13 raises this minimum version to Python
 818 3.6 both to access new features and because this is the oldest version
 819 we test with in our CI infrastructure.
 820
 821 This is also the last release where it will be possible to build Samba
 822 (just the file server) with Python versions 2.6 and 2.7.
 823
 824 As Python 2.7 has been End Of Life upstream since April 2020, Samba
 825 is dropping ALL Python 2.x support in the NEXT release.
 826
 827 Samba 4.14 to be released in March 2021 will require Python 3.6 or
 828 later to build.
 829
 830 wide links functionality
 831 ------------------------
 832
 833 For this release, the code implementing the insecure "wide links = yes"
 834 functionality has been moved out of the core smbd code and into a separate
 835 VFS module, vfs_widelinks. Currently this vfs module is implicitly loaded
 836 by smbd as the last but one module before vfs_default if "wide links = yes"
 837 is enabled on the share (note, the existing restrictions on enabling wide
 838 links around the SMB1 "unix extensions" and the "allow insecure wide links"
 839 parameters are still in force). The implicit loading was done to allow
 840 existing users of "wide links = yes" to keep this functionality without
 841 having to make a change to existing working smb.conf files.
 842
 843 Please note that the Samba developers recommend changing any Samba
 844 installations that currently use "wide links = yes" to use bind mounts
 845 as soon as possible, as "wide links = yes" is an inherently insecure
 846 configuration which we would like to remove from Samba. Moving the
 847 feature into a VFS module allows this to be done in a cleaner way
 848 in future.
 849
 850 A future release to be determined will remove this implicit linkage,
 851 causing administrators who need this functionality to have to explicitly
 852 add the vfs_widelinks module into the "vfs objects =" parameter lists.
 853 The release notes will be updated to note this change when it occurs.
 854
 855 NT4-like 'classic' Samba domain controllers
 856 -------------------------------------------
 857
 858 Samba 4.13 deprecates Samba's original domain controller mode.
 859
 860 Sites using Samba as a Domain Controller should upgrade from the
 861 NT4-like 'classic' Domain Controller to a Samba Active Directory DC
 862 to ensure full operation with modern windows clients.
 863
 864 SMBv1 only protocol options deprecated
 865 --------------------------------------
 866
 867 A number of smb.conf parameters for less-secure authentication methods
 868 which are only possible over SMBv1 are deprecated in this release.
 869
 870
 871 REMOVED FEATURES
 872 ================
 873
 874 The deprecated "ldap ssl ads" smb.conf option has been removed.
 875
 876
 877 smb.conf changes
 878 ================
 879
 880   Parameter Name                      Description                Default
 881   --------------                      -----------                -------
 882   ldap ssl ads                        Removed
 883   smb2 disable lock sequence checking Added                      No
 884   smb2 disable oplock break retry     Added                      No
 885   domain logons                       Deprecated                 no
 886   raw NTLMv2 auth                     Deprecated                 no
 887   client plaintext auth               Deprecated                 no
 888   client NTLMv2 auth                  Deprecated                 yes
 889   client lanman auth                  Deprecated                 no
 890   client use spnego                   Deprecated                 yes
 891   server require schannel:COMPUTER    Added
 892
 893
 894 CHANGES SINCE 4.13.0rc5
 895 =======================
 896
 897 o  Jeremy Allison <jra@samba.org>
 898    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Protect
 899      netr_ServerPasswordSet2 against unencrypted passwords.
 900
 901 o  Günther Deschner <gd@samba.org>
 902    * BUG 14497: CVE-2020-1472(ZeroLogon): s3:rpc_server/netlogon: Support
 903      "server require schannel:WORKSTATION$ = no" about unsecure configurations.
 904
 905 o  Gary Lockyer <gary@catalyst.net.nz>
 906    * BUG 14497: CVE-2020-1472(ZeroLogon): s4 torture rpc: repeated bytes in
 907      client challenge.
 908
 909 o  Stefan Metzmacher <metze@samba.org>
 910    * BUG 14497: CVE-2020-1472(ZeroLogon): libcli/auth: Reject weak client
 911      challenges in netlogon_creds_server_init()
 912      "server require schannel:WORKSTATION$ = no".
 913
 914
 915 CHANGES SINCE 4.13.0rc4
 916 =======================
 917
 918 o  Andreas Schneider <asn@samba.org>
 919    * BUG 14399: waf: Only use gnutls_aead_cipher_encryptv2() for GnuTLS >
 920      3.6.14.
 921    * BUG 14467: s3:smbd: Fix %U substitutions if it contains a domain name.
 922    * BUG 14479: The created krb5.conf for 'net ads join' doesn't have a domain
 923      entry.
 924
 925 o  Stefan Metzmacher <metze@samba.org>
 926    * BUG 14482: Fix build problem if libbsd-dev is not installed.
 927
 928
 929 CHANGES SINCE 4.13.0rc3
 930 =======================
 931
 932 o  David Disseldorp <ddiss@samba.org>
 933    * BUG 14437: build: Toggle vfs_snapper using "--with-shared-modules".
 934
 935 o  Volker Lendecke <vl@samba.org>
 936    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
 937      response.
 938
 939 o  Stefan Metzmacher <metze@samba.org>
 940    * BUG 14428: PANIC: Assert failed in get_lease_type().
 941    * BUG 14465: idmap_ad does not deal properly with a RFC4511 section 4.4.1
 942      response.
 943
 944
 945 CHANGES SINCE 4.13.0rc2
 946 =======================
 947
 948 o  Andrew Bartlett <abartlet@samba.org>
 949    * BUG 14460: Deprecate domain logons, SMBv1 things.
 950
 951 o  Günther Deschner <gd@samba.org>
 952    * BUG 14318: docs: Add missing winexe manpage.
 953
 954 o  Christof Schmitt <cs@samba.org>
 955    * BUG 14166: util: Allow symlinks in directory_create_or_exist.
 956
 957 o  Martin Schwenke <martin@meltin.net>
 958    * BUG 14466: ctdb disable/enable can fail due to race condition.
 959
 960
 961 CHANGES SINCE 4.13.0rc1
 962 =======================
 963
 964 o  Andrew Bartlett <abartlet@samba.org>
 965    * BUG 14450: dbcheck: Allow a dangling forward link outside our known NCs.
 966
 967 o  Isaac Boukris <iboukris@gmail.com>
 968    * BUG 14462: Remove deprecated "ldap ssl ads" smb.conf option.
 969
 970 o  Volker Lendecke <vl@samba.org>
 971    * BUG 14435: winbind: Fix lookuprids cache problem.
 972
 973 o  Stefan Metzmacher <metze@samba.org>
 974    * BUG 14354: kdc:db-glue: Ignore KRB5_PROG_ETYPE_NOSUPP also for
 975      Primary:Kerberos.
 976
 977 o  Andreas Schneider <asn@samba.org>
 978    * BUG 14358: docs: Fix documentation for require_membership_of of
 979      pam_winbind.conf.
 980
 981 o  Martin Schwenke <martin@meltin.net>
 982    * BUG 14444: ctdb-scripts: Use nfsconf as a last resort get nfsd thread
 983      count.
 984
 985
 986 KNOWN ISSUES
 987 ============
 988
 989 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.13#Release_blocking_bugs
 990
 991
 992 #######################################
 993 Reporting bugs & Development Discussion
 994 #######################################
 995
 996 Please discuss this release on the samba-technical mailing list or by
 997 joining the #samba-technical IRC channel on irc.freenode.net.
 998
 999 If you do report problems then please try to send high quality
1000 feedback. If you don't provide vital information to help us track down
1001 the problem then you will probably be ignored.  All bug reports should
1002 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1003 database (https://bugzilla.samba.org/).
1004
1005
1006 ======================================================================
1007 == Our Code, Our Bugs, Our Responsibility.
1008 == The Samba Team
1009 ======================================================================
1010