WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.16.2
   3                            June 13, 2022
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.16 release series.
   8
   9
  10 Changes since 4.16.1
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 15042: Use pathref fd instead of io fd in vfs_default_durable_cookie.
  15
  16 o  Ralph Boehme <slow@samba.org>
  17    * BUG 15069: vfs_gpfs with vfs_shadowcopy2 fail to restore file if original
  18      file had been deleted.
  19
  20 o  Samuel Cabrero <scabrero@samba.org>
  21    * BUG 15087: netgroups support removed.
  22
  23 o  Samuel Cabrero <scabrero@suse.de>
  24    * BUG 14674: net ads info shows LDAP Server: 0.0.0.0 depending on contacted
  25      server.
  26
  27 o  Volker Lendecke <vl@samba.org>
  28    * BUG 15062: Update from 4.15  to 4.16 breaks discovery of [homes] on
  29      standalone server from Win and IOS.
  30
  31 o  Stefan Metzmacher <metze@samba.org>
  32    * BUG 15071: waf produces incorrect names for python extensions with Python
  33      3.11.
  34
  35 o  Noel Power <noel.power@suse.com>
  36    * BUG 15075: smbclient -E doesn't work as advertised.
  37
  38 o  Andreas Schneider <asn@samba.org>
  39    * BUG 15071: waf produces incorrect names for python extensions with Python
  40      3.11.
  41    * BUG 15081: The samba background daemon doesn't refresh the printcap cache
  42      on startup.
  43
  44 o  Robert Sprowson <webpages@sprow.co.uk>
  45    * BUG 14443: Out-by-4 error in smbd read reply max_send clamp..
  46
  47
  48 #######################################
  49 Reporting bugs & Development Discussion
  50 #######################################
  51
  52 Please discuss this release on the samba-technical mailing list or by
  53 joining the #samba-technical:matrix.org matrix room, or
  54 #samba-technical IRC channel on irc.libera.chat.
  55
  56 If you do report problems then please try to send high quality
  57 feedback. If you don't provide vital information to help us track down
  58 the problem then you will probably be ignored.  All bug reports should
  59 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  60 database (https://bugzilla.samba.org/).
  61
  62
  63 ======================================================================
  64 == Our Code, Our Bugs, Our Responsibility.
  65 == The Samba Team
  66 ======================================================================
  67
  68
  69 Release notes for older releases follow:
  70 ----------------------------------------
  71                    ==============================
  72                    Release Notes for Samba 4.16.1
  73                             May 02, 2022
  74                    ==============================
  75
  76
  77 This is the latest stable release of the Samba 4.16 release series.
  78
  79
  80 Changes since 4.16.0
  81 --------------------
  82
  83 o  Jeremy Allison <jra@samba.org>
  84    * BUG 14831: Share and server swapped in smbget password prompt.
  85    * BUG 15022: Durable handles won't reconnect if the leased file is written
  86      to.
  87    * BUG 15023: rmdir silently fails if directory contains unreadable files and
  88      hide unreadable is yes.
  89    * BUG 15038: SMB2_CLOSE_FLAGS_FULL_INFORMATION fails to return information on
  90      renamed file handle.
  91
  92 o  Andrew Bartlett <abartlet@samba.org>
  93    * BUG 8731: Need to describe --builtin-libraries= better (compare with
  94     --bundled-libraries).
  95
  96 o  Ralph Boehme <slow@samba.org>
  97    * BUG 14957: vfs_shadow_copy2 breaks "smbd async dosmode" sync fallback.
  98    * BUG 15035: shadow_copy2 fails listing snapshotted dirs with
  99      shadow:fixinodes.
 100
 101 o  Samuel Cabrero <scabrero@samba.org>
 102    * BUG 15046: PAM Kerberos authentication incorrectly fails with a clock skew
 103      error.
 104
 105 o  Pavel Filipenský <pfilipen@redhat.com>
 106    * BUG 15041: Username map - samba erroneously applies unix group memberships
 107      to user account entries.
 108
 109 o  Stefan Metzmacher <metze@samba.org>
 110    * BUG 14951: KVNO off by 100000.
 111
 112 o  Christof Schmitt <cs@samba.org>
 113    * BUG 15027: Uninitialized litemask in variable in vfs_gpfs module.
 114    * BUG 15055: vfs_gpfs recalls=no option prevents listing files.
 115
 116 o  Andreas Schneider <asn@cryptomilk.org>
 117    * BUG 15054: smbd doesn't handle UPNs for looking up names.
 118
 119
 120 #######################################
 121 Reporting bugs & Development Discussion
 122 #######################################
 123
 124 Please discuss this release on the samba-technical mailing list or by
 125 joining the #samba-technical:matrix.org matrix room, or
 126 #samba-technical IRC channel on irc.libera.chat.
 127
 128 If you do report problems then please try to send high quality
 129 feedback. If you don't provide vital information to help us track down
 130 the problem then you will probably be ignored.  All bug reports should
 131 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 132 database (https://bugzilla.samba.org/).
 133
 134
 135 ======================================================================
 136 == Our Code, Our Bugs, Our Responsibility.
 137 == The Samba Team
 138 ======================================================================
 139
 140
 141 ----------------------------------------------------------------------
 142                    ==============================
 143                    Release Notes for Samba 4.16.0
 144                            March 21, 2022
 145                    ==============================
 146
 147 This is the first stable release of the Samba 4.16 release series.
 148 Please read the release notes carefully before upgrading.
 149
 150
 151 NEW FEATURES/CHANGES
 152 ====================
 153
 154 New samba-dcerpcd binary to provide DCERPC in the member server setup
 155 ---------------------------------------------------------------------
 156
 157 In order to make it much easier to break out the DCERPC services
 158 from smbd, a new samba-dcerpcd binary has been created.
 159
 160 samba-dcerpcd can be used in two ways. In the normal case without
 161 startup script modification it is invoked on demand from smbd or
 162 winbind --np-helper to serve DCERPC over named pipes. Note that
 163 in order to run in this mode the smb.conf [global] section has
 164 a new parameter "rpc start on demand helpers = [true|false]".
 165 This parameter is set to "true" by default, meaning no changes to
 166 smb.conf files are needed to run samba-dcerpcd on demand as a named
 167 pipe helper.
 168
 169 It can also be used in a standalone mode where it is started
 170 separately from smbd or winbind but this requires changes to system
 171 startup scripts, and in addition a change to smb.conf, setting the new
 172 [global] parameter "rpc start on demand helpers = false". If "rpc
 173 start on demand helpers" is not set to false, samba-dcerpcd will
 174 refuse to start in standalone mode.
 175
 176 Note that when Samba is run in the Active Directory Domain Controller
 177 mode the samba binary that provides the AD code will still provide its
 178 normal DCERPC services whilst allowing samba-dcerpcd to provide
 179 services like SRVSVC in the same way that smbd used to in this
 180 configuration.
 181
 182 The parameters that allowed some smbd-hosted services to be started
 183 externally are now gone (detailed below) as this is now the default
 184 setting.
 185
 186 samba-dcerpcd can also be useful for use outside of the Samba
 187 framework, for example, use with the Linux kernel SMB2 server ksmbd or
 188 possibly other SMB2 server implementations.
 189
 190 Heimdal-8.0pre used for Samba Internal Kerberos, adds FAST support
 191 ------------------------------------------------------------------
 192
 193 Samba has since Samba 4.0 included a snapshot of the Heimdal Kerberos
 194 implementation.  This snapshot has now been updated and will closely
 195 match what will be released as Heimdal 8.0 shortly.
 196
 197 This is a major update, previously we used a snapshot of Heimdal from
 198 2011, and brings important new Kerberos security features such as
 199 Kerberos request armoring, known as FAST.  This tunnels ticket
 200 requests and replies that might be encrypted with a weak password
 201 inside a wrapper built with a stronger password, say from a machine
 202 account.
 203
 204 In Heimdal and MIT modes Samba's KDC now supports FAST, for the
 205 support of non-Windows clients.
 206
 207 Windows clients will not use this feature however, as they do not
 208 attempt to do so against a server not advertising domain Functional
 209 Level 2012.  Samba users are of course free to modify how Samba
 210 advertises itself, but use with Windows clients is not supported "out
 211 of the box".
 212
 213 Finally, Samba also uses a per-KDC, not per-realm 'cookie' to secure part of
 214 the FAST protocol.  A future version will align this more closely with
 215 Microsoft AD behaviour.
 216
 217 If FAST needs to be disabled on your Samba KDC, set
 218
 219  kdc enable fast = no
 220
 221 in the smb.conf.
 222
 223 The Samba project wishes to thank the numerous developers who have put
 224 in a massive effort to make this possible over many years.  In
 225 particular we thank Stefan Metzmacher, Joseph Sutton, Gary Lockyer,
 226 Isaac Boukris and Andrew Bartlett.  Samba's developers in turn thank
 227 their employers and in turn their customers who have supported this
 228 effort over many years.
 229
 230 Certificate Auto Enrollment
 231 ---------------------------
 232
 233 Certificate Auto Enrollment allows devices to enroll for certificates from
 234 Active Directory Certificate Services. It is enabled by Group Policy.
 235 To enable Certificate Auto Enrollment, Samba's group policy will need to be
 236 enabled by setting the smb.conf option `apply group policies` to Yes. Samba
 237 Certificate Auto Enrollment depends on certmonger, the cepces certmonger
 238 plugin, and sscep. Samba uses sscep to download the CA root chain, then uses
 239 certmonger paired with cepces to monitor the host certificate templates.
 240 Certificates are installed in /var/lib/samba/certs and private keys are
 241 installed in /var/lib/samba/private/certs.
 242
 243 Ability to add ports to dns forwarder addresses in internal DNS backend
 244 -----------------------------------------------------------------------
 245
 246 The internal DNS server of Samba forwards queries non-AD zones to one or more
 247 configured forwarders. Up until now it has been assumed that these forwarders
 248 listen on port 53. Starting with this version it is possible to configure the
 249 port using host:port notation. See smb.conf for more details. Existing setups
 250 are not affected, as the default port is 53.
 251
 252 CTDB changes
 253 ------------
 254
 255 * The "recovery master" role has been renamed "leader"
 256
 257   Documentation and logs now refer to "leader".
 258
 259   The following ctdb tool command names have changed:
 260
 261     recmaster -> leader
 262     setrecmasterrole -> setleaderrole
 263
 264   Command output has changed for the following commands:
 265
 266     status
 267     getcapabilities
 268
 269   The "[legacy] -> recmaster capability" configuration option has been
 270   renamed and moved to the cluster section, so this is now:
 271
 272     [cluster] -> leader capability
 273
 274 * The "recovery lock" has been renamed "cluster lock"
 275
 276   Documentation and logs now refer to "cluster lock".
 277
 278   The "[cluster] -> recovery lock" configuration option has been
 279   deprecated and will be removed in a future version.  Please use
 280   "[cluster] -> cluster lock" instead.
 281
 282   If the cluster lock is enabled then traditional elections are not
 283   done and leader elections use a race for the cluster lock.  This
 284   avoids various conditions where a node is elected leader but can not
 285   take the cluster lock.  Such conditions included:
 286
 287   - At startup, a node elects itself leader of its own cluster before
 288     connecting to other nodes
 289
 290   - Cluster filesystem failover is slow
 291
 292   The abbreviation "reclock" is still used in many places, because a
 293   better abbreviation eludes us (i.e. "clock" is obvious bad) and
 294   changing all instances would require a lot of churn.  If the
 295   abbreviation "reclock" for "cluster lock" is confusing, please
 296   consider mentally prefixing it with "really excellent".
 297
 298 * CTDB now uses leader broadcasts and an associated timeout to
 299   determine if an election is required
 300
 301   The leader broadcast timeout can be configured via new configuration
 302   option
 303
 304     [cluster] -> leader timeout
 305
 306   This specifies the number of seconds without leader broadcasts
 307   before a node calls an election.  The default is 5.
 308
 309
 310 REMOVED FEATURES
 311 ================
 312
 313 Older SMB1 protocol SMBCopy command removed
 314 -------------------------------------------
 315
 316 SMB is a nearly 30-year old protocol, and some protocol commands that
 317 while supported in all versions, have not seen widespread use.
 318
 319 One of those is SMBCopy, a feature for a server-side copy of a file.
 320 This feature has been so unmaintained that Samba has no testsuite for
 321 it.
 322
 323 The SMB1 command SMB_COM_COPY (SMB1 command number 0x29) was
 324 introduced in the LAN Manager 1.0 dialect and it was rendered obsolete
 325 in the NT LAN Manager dialect.
 326
 327 Therefore it has been removed from the Samba smbd server.
 328
 329 We do note that a fully supported and tested server-side copy is
 330 present in SMB2, and can be accessed with "scopy" subcommand in
 331 smbclient)
 332
 333 SMB1 server-side wildcard expansion removed
 334 -------------------------------------------
 335
 336 Server-side wildcard expansion is another feature that sounds useful,
 337 but is also rarely used and has become problematic - imposing extra
 338 work on the server (both in terms of code and CPU time).
 339
 340 In actual OS design, wildcard expansion is handled in the local shell,
 341 not at the remote server using SMB wildcard syntax (which is not shell
 342 syntax).
 343
 344 In Samba 4.16 the ability to process file name wildcards in requests
 345 using the SMB1 commands SMB_COM_RENAME (SMB1 command number 0x7),
 346 SMB_COM_NT_RENAME (SMB1 command number 0xA5) and SMB_COM_DELETE (SMB1
 347 command number 0x6) has been removed.
 348
 349 SMB1 protocol has been deprecated, particularly older dialects
 350 --------------------------------------------------------------
 351
 352 We take this opportunity to remind that we have deprecated and
 353 disabled by default, but not removed, the whole SMB1 protocol since
 354 Samba 4.11.  If needed for security purposes or code maintenance we
 355 will continue to remove older protocol commands and dialects that are
 356 unused or have been replaced in more modern SMB1 versions.
 357
 358 We specifically deprecate the older dialects older than "NT LM 0.12"
 359 (also known as "NT LANMAN 1.0" and "NT1").
 360
 361 Please note that "NT LM 0.12" is the dialect used by software as old
 362 as Windows 95, Windows NT and Samba 2.0, so this deprecation applies
 363 to DOS and similar era clients.
 364
 365 We do reassure that that 'simple' operation of older clients than
 366 these (eg DOS) will, while untested, continue for the near future, our
 367 purpose is not to cripple use of Samba in unique situations, but to
 368 reduce the maintaince burden.
 369
 370 Eventually SMB1 as a whole will be removed, but no broader change is
 371 announced for 4.16.
 372
 373 In the rare case where the above changes cause incompatibilities,
 374 users requiring support for these features will need to use older
 375 versions of Samba.
 376
 377 No longer using Linux mandatory locks for sharemodes
 378 ====================================================
 379
 380 smbd mapped sharemodes to Linux mandatory locks. This code in the Linux kernel
 381 was broken for a long time, and is planned to be removed with Linux 5.15. This
 382 Samba release removes the usage of mandatory locks for sharemodes and the
 383 "kernel share modes" config parameter is changed to default to "no". The Samba
 384 VFS interface is kept, so that file-system specific VFS modules can still use
 385 private calls for enforcing sharemodes.
 386
 387
 388 smb.conf changes
 389 ================
 390
 391   Parameter Name                          Description     Default
 392   --------------                          -----------     -------
 393   kernel share modes                      New default     No
 394   dns forwarder                           Changed
 395   rpc_daemon                              Removed
 396   rpc_server                              Removed
 397   rpc start on demand helpers             Added           true
 398
 399
 400 CHANGES SINCE 4.16.0rc5
 401 =======================
 402
 403 o  Andrew Bartlett <abartlet@samba.org>
 404    * BUG 15000: Memory leak in FAST cookie handling.
 405
 406 o  Elia Geretto <elia.f.geretto@gmail.com>
 407    * BUG 14983: NT_STATUS_ACCESS_DENIED translates into EPERM instead of EACCES
 408      in SMBC_server_internal.
 409
 410 o  Stefan Metzmacher <metze@samba.org>
 411    * BUG 13879: Simple bind doesn't work against an RODC (with non-preloaded
 412      users).
 413    * BUG 14641: Crash of winbind on RODC.
 414    * BUG 15001: LDAP simple binds should honour "old password allowed period".
 415    * BUG 15002: S4U2Self requests don't work against servers without FAST
 416      support.
 417    * BUG 15003: wbinfo -a doesn't work reliable with upn names.
 418    * BUG 15005: A cross-realm kerberos client exchanges fail using KDCs with and
 419      without FAST.
 420    * BUG 15015: PKINIT: hdb_samba4_audit: Unhandled hdb_auth_status=9 =>
 421      INTERNAL_ERROR.
 422
 423 o  Garming Sam <garming@catalyst.net.nz>
 424    * BUG 13879: Simple bind doesn't work against an RODC (with non-preloaded
 425      users).
 426
 427 o  Andreas Schneider <asn@samba.org>
 428    * BUG 15016: Regression: create krb5 conf = yes doesn't work with a single
 429      KDC.
 430
 431 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 432    * BUG 15015: PKINIT: hdb_samba4_audit: Unhandled hdb_auth_status=9 =>
 433      INTERNAL_ERROR.
 434
 435
 436 CHANGES SINCE 4.16.0rc4
 437 =======================
 438
 439 o  Jeremy Allison <jra@samba.org>
 440    * BUG 14737: Samba does not response STATUS_INVALID_PARAMETER when opening 2
 441      objects with same lease key.
 442
 443 o  Jule Anger <janger@samba.org>
 444    * BUG 14999: Listing shares with smbstatus no longer works.
 445
 446 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 447    * BUG 14996: Fix ldap simple bind with TLS auditing.
 448
 449 o  Andrew Bartlett <abartlet@samba.org>
 450    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
 451
 452 o  Volker Lendecke <vl@samba.org>
 453    * BUG 14989: Fix a use-after-free in SMB1 server.
 454
 455 o  Stefan Metzmacher <metze@samba.org>
 456    * BUG 14865: Uncached logon on RODC always fails once.
 457    * BUG 14984: Changing the machine password against an RODC likely destroys
 458      the domain join.
 459    * BUG 14993: authsam_make_user_info_dc() steals memory from its struct
 460      ldb_message *msg argument.
 461    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
 462
 463 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 464    * BUG 14995: Use Heimdal 8.0 (pre) rather than an earlier snapshot.
 465
 466
 467 CHANGES SINCE 4.16.0rc3
 468 =======================
 469
 470 o  Samuel Cabrero <scabrero@suse.de>
 471    * BUG 14979: Problem when winbind renews Kerberos.
 472
 473 o  Björn Jacke <bj@sernet.de>
 474    * BUG 13631: DFS fix for AIX broken.
 475    * BUG 14974: Solaris and AIX acl modules: wrong function arguments.
 476    * BUG 7239: Function aixacl_sys_acl_get_file not declared / coredump.
 477
 478 o  Andreas Schneider <asn@samba.org>
 479    * BUG 14967: Samba autorid fails to map AD users if id rangesize fits in the
 480      id range only once.
 481
 482 o  Martin Schwenke <martin@meltin.net>
 483    * BUG 14958: CTDB can get stuck in election and recovery.
 484
 485
 486 CHANGES SINCE 4.16.0rc2
 487 =======================
 488
 489 o  Jeremy Allison <jra@samba.org>
 490    * BUG 14169: Renaming file on DFS root fails with
 491      NT_STATUS_OBJECT_PATH_NOT_FOUND.
 492    * BUG 14938: NT error code is not set when overwriting a file during rename
 493      in libsmbclient.
 494
 495 o  Ralph Boehme <slow@samba.org>
 496    * BUG 14674: net ads info shows LDAP Server: 0.0.0.0 depending on contacted
 497      server.
 498
 499 o  Pavel Filipenský <pfilipen@redhat.com>
 500    * BUG 14971: virusfilter_vfs_openat: Not scanned: Directory or special file.
 501
 502 o  Volker Lendecke <vl@samba.org>
 503    * BUG 14900: Regression: Samba 4.15.2 on macOS segfaults intermittently
 504      during strcpy in tdbsam_getsampwnam.
 505    * BUG 14975: Fix a crash in vfs_full_audit - CREATE_FILE can free a used fsp.
 506
 507 o  Stefan Metzmacher <metze@samba.org>
 508    * BUG 14968: smb2_signing_decrypt_pdu() may not decrypt with
 509      gnutls_aead_cipher_decrypt() from gnutls before 3.5.2.
 510
 511 o  Andreas Schneider <asn@samba.org>
 512    * BUG 14960: SDB uses HDB flags directly which can lead to unwanted side
 513      effects.
 514
 515
 516 CHANGES SINCE 4.16.0rc1
 517 =======================
 518
 519 o  Jeremy Allison <jra@samba.org>
 520    * BUG 14911: CVE-2021-44141: UNIX extensions in SMB1 disclose whether the
 521      outside target of a symlink exists.
 522
 523 o  Ralph Boehme <slow@samba.org>
 524    * BUG 14914: CVE-2021-44142: Out-of-Bound Read/Write on Samba vfs_fruit
 525      module.
 526    * BUG 14961: install elasticsearch_mappings.json
 527
 528 o  FeRD (Frank Dana) <ferdnyc@gmail.com>
 529    * BUG 14947: samba-bgqd still notifying systemd, triggering log warnings
 530      without NotifyAccess=all.
 531
 532 o  Stefan Metzmacher <metze@samba.org>
 533    * BUG 14867: Printing no longer works on Windows 7 with 2021-10 monthly
 534      rollup patch.
 535    * BUG 14956: ndr_push_string() adds implicit termination for
 536      STR_NOTERM|REMAINING empty strings.
 537
 538 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 539    * BUG 14950: CVE-2022-0336: Re-adding an SPN skips subsequent SPN conflict
 540      checks.
 541
 542
 543 KNOWN ISSUES
 544 ============
 545
 546 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.16#Release_blocking_bugs
 547
 548
 549 #######################################
 550 Reporting bugs & Development Discussion
 551 #######################################
 552
 553 Please discuss this release on the samba-technical mailing list or by
 554 joining the #samba-technical:matrix.org matrix room, or
 555 #samba-technical IRC channel on irc.libera.chat
 556
 557 If you do report problems then please try to send high quality
 558 feedback. If you don't provide vital information to help us track down
 559 the problem then you will probably be ignored.  All bug reports should
 560 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 561 database (https://bugzilla.samba.org/).
 562
 563
 564 ======================================================================
 565 == Our Code, Our Bugs, Our Responsibility.
 566 == The Samba Team
 567 ======================================================================
 568