WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.6.8
   3                          September 20, 2017
   4                    =============================
   5
   6
   7 This is a security release in order to address the following defects:
   8
   9 o  CVE-2017-12150 (SMB1/2/3 connections may not require signing where they
  10    should)
  11 o  CVE-2017-12151 (SMB3 connections don't keep encryption across DFS redirects)
  12 o  CVE-2017-12163 (Server memory information leak over SMB1)
  13
  14
  15 =======
  16 Details
  17 =======
  18
  19 o  CVE-2017-12150:
  20    A man in the middle attack may hijack client connections.
  21
  22 o  CVE-2017-12151:
  23    A man in the middle attack can read and may alter confidential
  24    documents transferred via a client connection, which are reached
  25    via DFS redirect when the original connection used SMB3.
  26
  27 o  CVE-2017-12163:
  28    Client with write access to a share can cause server memory contents to be
  29    written into a file or printer.
  30
  31 For more details and workarounds, please see the security advisories:
  32
  33    o https://www.samba.org/samba/security/CVE-2017-12150.html
  34    o https://www.samba.org/samba/security/CVE-2017-12151.html
  35    o https://www.samba.org/samba/security/CVE-2017-12163.html
  36
  37
  38 Changes since 4.6.7:
  39 --------------------
  40
  41 o  Jeremy Allison <jra@samba.org>
  42    * BUG 12836: s3: smbd: Fix a read after free if a chained SMB1 call goes
  43      async.
  44    * BUG 13020: CVE-2017-12163: s3:smbd: Prevent client short SMB1 write from
  45      writing server memory to file.
  46
  47 o  Ralph Boehme <slow@samba.org>
  48    * BUG 12885: s3/smbd: Let non_widelink_open() chdir() to directories
  49      directly.
  50
  51 o  Stefan Metzmacher <metze@samba.org>
  52    * BUG 12996: CVE-2017-12151: Keep required encryption across SMB3 dfs
  53      redirects.
  54    * BUG 12997: CVE-2017-12150: Some code path don't enforce smb signing
  55      when they should.
  56
  57
  58 #######################################
  59 Reporting bugs & Development Discussion
  60 #######################################
  61
  62 Please discuss this release on the samba-technical mailing list or by
  63 joining the #samba-technical IRC channel on irc.freenode.net.
  64
  65 If you do report problems then please try to send high quality
  66 feedback. If you don't provide vital information to help us track down
  67 the problem then you will probably be ignored.  All bug reports should
  68 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
  69 database (https://bugzilla.samba.org/).
  70
  71
  72 ======================================================================
  73 == Our Code, Our Bugs, Our Responsibility.
  74 == The Samba Team
  75 ======================================================================
  76
  77
  78 Release notes for older releases follow:
  79 ----------------------------------------
  80
  81                    =============================
  82                    Release Notes for Samba 4.6.7
  83                            August 9, 2017
  84                    =============================
  85
  86
  87 This is the latest stable release of the Samba 4.6 release series.
  88
  89
  90 Changes since 4.6.6:
  91 ---------------------
  92
  93 o  Jeremy Allison <jra@samba.org>
  94    * BUG 12836: s3: smbd: Fix a read after free if a chained SMB1 call goes async.
  95
  96 o  Andrew Bartlett <abartlet@samba.org>
  97    * BUG 11392: s4-cldap/netlogon: Match Windows 2012R2 and return
  98      NETLOGON_NT_VERSION_5 when version unspecified.
  99
 100 o  Ralph Boehme <slow@samba.org>
 101    * BUG 12885: s3/smbd: Let non_widelink_open() chdir() to directories directly.
 102    * BUG 12910: s3/notifyd: Ensure notifyd doesn't return from
 103      smbd_notifyd_init.
 104
 105 o  Günther Deschner <gd@samba.org>
 106    * BUG 12840: vfs_fruit: Add fruit:model = <modelname> parametric option.
 107
 108 o  David Disseldorp <ddiss@samba.org>
 109    * BUG 12911: vfs_ceph: Fix cephwrap_chdir().
 110
 111 o  Dustin L. Howett
 112    * BUG 12720: idmap_ad: Retry query_user exactly once if we get
 113      TLDAP_SERVER_DOWN.
 114
 115 o  Thomas Jarosch <thomas.jarosch@intra2net.com>
 116    * BUG 12927: s3: libsmb: Fix use-after-free when accessing pointer *p.
 117
 118 o  Volker Lendecke <vl@samba.org>
 119    * BUG 12925: smbd: Fix a connection run-down race condition.
 120
 121 o  Stefan Metzmacher <metze@samba.org>
 122    * BUG 12782: winbindd changes the local password and gets
 123      NT_STATUS_WRONG_PASSWORD for the remote change.
 124    * BUG 12890: s3:smbd: consistently use talloc_tos() memory for
 125      rpc_pipe_open_interface().
 126
 127 o  Noel Power <noel.power@suse.com>
 128    * BUG 12937: smbcacls: Don't fail against a directory on Windows using SMB2.
 129
 130 o  Arvid Requate <requate@univention.de>
 131    * BUG 11392: s4-dsdb/netlogon: Allow missing ntver in cldap ping.
 132
 133 o  Garming Sam <garming@catalyst.net.nz>
 134    * BUG 12813: dnsserver: Stop dns_name_equal doing OOB read.
 135
 136 o  Andreas Schneider <asn@samba.org>
 137    * BUG 12886: s3:client: The smbspool krb5 wrapper needs negotiate for
 138      authentication.
 139
 140 o  Martin Schwenke <martin@meltin.net>
 141    * BUG 12898: ctdb-common: Set close-on-exec when creating PID file.
 142
 143
 144 #######################################
 145 Reporting bugs & Development Discussion
 146 #######################################
 147
 148 Please discuss this release on the samba-technical mailing list or by
 149 joining the #samba-technical IRC channel on irc.freenode.net.
 150
 151 If you do report problems then please try to send high quality
 152 feedback. If you don't provide vital information to help us track down
 153 the problem then you will probably be ignored.  All bug reports should
 154 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 155 database (https://bugzilla.samba.org/).
 156
 157
 158 ======================================================================
 159 == Our Code, Our Bugs, Our Responsibility.
 160 == The Samba Team
 161 ======================================================================
 162
 163
 164 ----------------------------------------------------------------------
 165
 166
 167                    =============================
 168                    Release Notes for Samba 4.6.6
 169                             July 12, 2017
 170                    =============================
 171
 172
 173 This is a security release in order to address the following defect:
 174
 175 o  CVE-2017-11103 (Orpheus' Lyre mutual authentication validation bypass)
 176
 177 =======
 178 Details
 179 =======
 180
 181 o  CVE-2017-11103 (Heimdal):
 182    All versions of Samba from 4.0.0 onwards using embedded Heimdal
 183    Kerberos are vulnerable to a man-in-the-middle attack impersonating
 184    a trusted server, who may gain elevated access to the domain by
 185    returning malicious replication or authorization data.
 186
 187    Samba binaries built against MIT Kerberos are not vulnerable.
 188
 189
 190 Changes since 4.6.5:
 191 ---------------------
 192
 193 o  Jeffrey Altman <jaltman@secure-endpoints.com>
 194    * BUG 12894: CVE-2017-11103: Orpheus' Lyre KDC-REP service name validation
 195
 196
 197 #######################################
 198 Reporting bugs & Development Discussion
 199 #######################################
 200
 201 Please discuss this release on the samba-technical mailing list or by
 202 joining the #samba-technical IRC channel on irc.freenode.net.
 203
 204 If you do report problems then please try to send high quality
 205 feedback. If you don't provide vital information to help us track down
 206 the problem then you will probably be ignored.  All bug reports should
 207 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 208 database (https://bugzilla.samba.org/).
 209
 210
 211 ======================================================================
 212 == Our Code, Our Bugs, Our Responsibility.
 213 == The Samba Team
 214 ======================================================================
 215
 216
 217 ----------------------------------------------------------------------
 218
 219
 220                    =============================
 221                    Release Notes for Samba 4.6.5
 222                             June 6, 2017
 223                    =============================
 224
 225
 226 This is the latest stable release of the Samba 4.6 release series.
 227
 228
 229 Changes since 4.6.4:
 230 ---------------------
 231
 232 o  Jeremy Allison <jra@samba.org>
 233    * BUG 12804: s3: VFS: Catia: Ensure path name is also converted.
 234
 235 o  Christian Ambach <ambi@samba.org>
 236    * BUG 12765: s3:smbcacls add prompt for password.
 237
 238 o  Ralph Boehme <slow@samba.org>
 239    * BUG 12562: vfs_acl_xattr|tdb: Ensure create mask is at least 0666 if
 240      ignore_system_acls is set.
 241    * BUG 12702: Wrong sid->uid mapping for SIDs residing in sIDHistory.
 242    * BUG 12749: vfs_fruit: lp_case_sensitive() does not return a bool.
 243    * BUG 12766: s3/smbd: Update exclusive oplock optimisation to the lease area.
 244    * BUG 12798: s3/smbd: Fix exclusive lease optimisation.
 245
 246 o  Alexander Bokovoy <ab@samba.org>
 247    * BUG 12751: Allow passing trusted domain password as plain-text to PASSDB
 248      layer.
 249    * BUG 12764: systemd: Fix detection of libsystemd.
 250
 251 o  Amitay Isaacs <amitay@gmail.com>
 252    * BUG 12697: ctdb-readonly: Avoid a tight loop waiting for revoke to
 253      complete.
 254    * BUG 12770: ctdb-logging: Initialize DEBUGLEVEL before changing the value.
 255
 256 o  Shilpa Krishnareddy <skrishnareddy@panzura.com>
 257    * BUG 12756: notify: Fix ordering of events in notifyd.
 258
 259 o  Volker Lendecke <vl@samba.org>
 260    * BUG 12757: idmap_rfc2307: Lookup of more than two SIDs fails.
 261
 262 o  Stefan Metzmacher <metze@samba.org>
 263    * BUG 12767: samba-tool: Let 'samba-tool user syncpasswords' report deletions
 264      immediately.
 265
 266 o  Doug Nazar <nazard@nazar.ca>
 267    * BUG 12760: s3: smbd: inotify_map_mask_to_filter incorrectly indexes an
 268      array.
 269
 270 o  Andreas Schneider <asn@samba.org>
 271    * BUG 12687: vfs_expand_msdfs tries to open the remote address as a file
 272      path.
 273
 274 o  Martin Schwenke <martin@meltin.net>
 275    * BUG 12802: 'ctdb nodestatus' incorrectly displays status for all nodes with
 276      wrong exit code.
 277    * BUG 12814: ctdb-common: Fix crash in logging initialisation.
 278
 279
 280 #######################################
 281 Reporting bugs & Development Discussion
 282 #######################################
 283
 284 Please discuss this release on the samba-technical mailing list or by
 285 joining the #samba-technical IRC channel on irc.freenode.net.
 286
 287 If you do report problems then please try to send high quality
 288 feedback. If you don't provide vital information to help us track down
 289 the problem then you will probably be ignored.  All bug reports should
 290 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 291 database (https://bugzilla.samba.org/).
 292
 293
 294 ======================================================================
 295 == Our Code, Our Bugs, Our Responsibility.
 296 == The Samba Team
 297 ======================================================================
 298
 299
 300 ----------------------------------------------------------------------
 301
 302
 303                    =============================
 304                    Release Notes for Samba 4.6.4
 305                             May 24, 2017
 306                    =============================
 307
 308
 309 This is a security release in order to address the following defect:
 310
 311 o  CVE-2017-7494 (Remote code execution from a writable share)
 312
 313 =======
 314 Details
 315 =======
 316
 317 o  CVE-2017-7494:
 318    All versions of Samba from 3.5.0 onwards are vulnerable to a remote
 319    code execution vulnerability, allowing a malicious client to upload a
 320    shared library to a writable share, and then cause the server to load
 321    and execute it.
 322
 323
 324 Changes since 4.6.3:
 325 ---------------------
 326
 327 o  Volker Lendecke <vl@samba.org>
 328    * BUG 12780: CVE-2017-7494: Avoid remote code execution from a writable
 329      share.
 330
 331
 332 #######################################
 333 Reporting bugs & Development Discussion
 334 #######################################
 335
 336 Please discuss this release on the samba-technical mailing list or by
 337 joining the #samba-technical IRC channel on irc.freenode.net.
 338
 339 If you do report problems then please try to send high quality
 340 feedback. If you don't provide vital information to help us track down
 341 the problem then you will probably be ignored.  All bug reports should
 342 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 343 database (https://bugzilla.samba.org/).
 344
 345
 346 ======================================================================
 347 == Our Code, Our Bugs, Our Responsibility.
 348 == The Samba Team
 349 ======================================================================
 350
 351
 352 ----------------------------------------------------------------------
 353
 354
 355                    =============================
 356                    Release Notes for Samba 4.6.3
 357                            April 25, 2017
 358                    =============================
 359
 360
 361 This is the latest stable release of the Samba 4.6 release series.
 362
 363
 364 Changes since 4.6.2:
 365 --------------------
 366
 367 o  Michael Adam <obnox@samba.org>
 368    * BUG 12743: s3:vfs:shadow_copy2: vfs_shadow_copy2 fails to list snapshots
 369      from shares with GlusterFS backend.
 370
 371 o  Jeremy Allison <jra@samba.org>
 372    * BUG 12559: Fix for Solaris C compiler.
 373    * BUG 12628: s3: locking: Update oplock optimization for the leases era.
 374    * BUG 12693: Make the Solaris C compiler happy.
 375    * BUG 12695: s3: libgpo: Allow skipping GPO objects that don't have the
 376      expected LDAP attributes.
 377    * BUG 12747: Fix buffer overflow caused by wrong use of getgroups.
 378
 379 o  Hanno Boeck <hanno@hboeck.de>
 380    * BUG 12746: lib: debug: Avoid negative array access.
 381    * BUG 12748: cleanupdb: Fix a memory read error.
 382
 383 o  Ralph Boehme <slow@samba.org>
 384    * BUG 7537: streams_xattr and kernel oplocks results in
 385      NT_STATUS_NETWORK_BUSY.
 386    * BUG 11961: winbindd: idmap_autorid allocates ids for unknown SIDs from other
 387      backends.
 388    * BUG 12565: vfs_fruit: Resource fork open request with
 389      flags=O_CREAT|O_RDONLY.
 390    * BUG 12615: manpages/vfs_fruit: Document global options.
 391    * BUG 12624: lib/pthreadpool: Fix a memory leak.
 392    * BUG 12727: Lookup-domain for well-known SIDs on a DC.
 393    * BUG 12728: winbindd: Fix error handling in rpc_lookup_sids().
 394    * BUG 12729: winbindd: Trigger possible passdb_dsdb initialisation.
 395
 396 o  Alexander Bokovoy <ab@samba.org>
 397    * BUG 12611: credentials_krb5: use gss_acquire_cred for client-side GSSAPI
 398      use case.
 399    * BUG 12690: lib/crypto: Implement samba.crypto Python module for RC4.
 400
 401 o  Amitay Isaacs <amitay@gmail.com>
 402    * BUG 12697: ctdb-readonly: Avoid a tight loop waiting for revoke to
 403      complete.
 404    * BUG 12723: ctdb_event monitor command crashes if event is not specified.
 405    * BUG 12733: ctdb-docs: Fix documentation of "-n" option to 'ctdb tool'.
 406
 407 o  Volker Lendecke <vl@samba.org>
 408    * BUG 12558: smbd: Fix smb1 findfirst with DFS.
 409    * BUG 12610: smbd: Do an early exit on negprot failure.
 410    * BUG 12699: winbindd: Fix substitution for 'template homedir'.
 411
 412 o  Stefan Metzmacher <metze@samba.org>
 413    * BUG 12554: s4:kdc: Disable principal based autodetected referral detection.
 414    * BUG 12613: idmap_autorid: Allocate new domain range if the callers knows
 415      the sid is valid.
 416    * BUG 12724: LINKFLAGS_PYEMBED should not contain -L/some/path.
 417    * BUG 12725: PAM auth with WBFLAG_PAM_GET_PWD_POLICY returns wrong policy for
 418      trusted domain.
 419    * BUG 12731: rpcclient: Allow -U'OTHERDOMAIN\user' again.
 420
 421 o  Christof Schmitt <cs@samba.org>
 422    * BUG 12725: winbindd: Fix password policy for pam authentication.
 423
 424 o  Andreas Schneider <asn@samba.org>
 425    * BUG 12554: s3:gse: Correctly handle external trusts with MIT.
 426    * BUG 12611: auth/credentials: Always set the realm if we set the principal
 427      from the ccache.
 428    * BUG 12686: replace: Include sysmacros.h.
 429    * BUG 12687: s3:vfs_expand_msdfs: Do not open the remote address as a file.
 430    * BUG 12704: s3:libsmb: Only print error message if kerberos use is forced.
 431    * BUG 12708: winbindd: Child process crashes when kerberos-authenticating
 432      a user with wrong password.
 433
 434 o  Uri Simchoni <uri@samba.org>
 435    * BUG 12715: vfs_fruit: Office document opens as read-only on macOS due to
 436      CNID semantics.
 437    * BUG 12737: vfs_acl_xattr: Fix failure to get ACL on Linux if memory is
 438      fragmented.
 439
 440
 441 #######################################
 442 Reporting bugs & Development Discussion
 443 #######################################
 444
 445 Please discuss this release on the samba-technical mailing list or by
 446 joining the #samba-technical IRC channel on irc.freenode.net.
 447
 448 If you do report problems then please try to send high quality
 449 feedback. If you don't provide vital information to help us track down
 450 the problem then you will probably be ignored.  All bug reports should
 451 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 452 database (https://bugzilla.samba.org/).
 453
 454
 455 ======================================================================
 456 == Our Code, Our Bugs, Our Responsibility.
 457 == The Samba Team
 458 ======================================================================
 459
 460
 461 ----------------------------------------------------------------------
 462
 463
 464                    =============================
 465                    Release Notes for Samba 4.6.2
 466                            March 31, 2017
 467                    =============================
 468
 469
 470 This is a bug fix release to address a regression introduced by the security
 471 fixes for CVE-2017-2619 (Symlink race allows access outside share definition).
 472 Please see https://bugzilla.samba.org/show_bug.cgi?id=12721 for details.
 473
 474
 475 Changes since 4.6.1:
 476 --------------------
 477
 478 o  Jeremy Allison <jra@samba.org>
 479    * BUG 12721: Fix regression with "follow symlinks = no".
 480
 481
 482 #######################################
 483 Reporting bugs & Development Discussion
 484 #######################################
 485
 486 Please discuss this release on the samba-technical mailing list or by
 487 joining the #samba-technical IRC channel on irc.freenode.net.
 488
 489 If you do report problems then please try to send high quality
 490 feedback. If you don't provide vital information to help us track down
 491 the problem then you will probably be ignored.  All bug reports should
 492 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 493 database (https://bugzilla.samba.org/).
 494
 495
 496 ======================================================================
 497 == Our Code, Our Bugs, Our Responsibility.
 498 == The Samba Team
 499 ======================================================================
 500
 501
 502 ----------------------------------------------------------------------
 503
 504
 505                    =============================
 506                    Release Notes for Samba 4.6.1
 507                            March 23, 2017
 508                    =============================
 509
 510
 511 This is a security release in order to address the following defect:
 512
 513 o  CVE-2017-2619 (Symlink race allows access outside share definition)
 514
 515 =======
 516 Details
 517 =======
 518
 519 o  CVE-2017-2619:
 520    All versions of Samba prior to 4.6.1, 4.5.7, 4.4.11 are vulnerable to
 521    a malicious client using a symlink race to allow access to areas of
 522    the server file system not exported under the share definition.
 523
 524    Samba uses the realpath() system call to ensure when a client requests
 525    access to a pathname that it is under the exported share path on the
 526    server file system.
 527
 528    Clients that have write access to the exported part of the file system
 529    via SMB1 unix extensions or NFS to create symlinks can race the server
 530    by renaming a realpath() checked path and then creating a symlink. If
 531    the client wins the race it can cause the server to access the new
 532    symlink target after the exported share path check has been done. This
 533    new symlink target can point to anywhere on the server file system.
 534
 535    This is a difficult race to win, but theoretically possible. Note that
 536    the proof of concept code supplied wins the race reliably only when
 537    the server is slowed down using the strace utility running on the
 538    server. Exploitation of this bug has not been seen in the wild.
 539
 540
 541 Changes since 4.6.0:
 542 --------------------
 543
 544 o  Jeremy Allison <jra@samba.org>
 545    * BUG 12496: CVE-2017-2619: Symlink race permits opening files outside share
 546      directory.
 547
 548 o  Ralph Boehme <slow@samba.org>
 549    * BUG 12496: CVE-2017-2619: Symlink race permits opening files outside share
 550      directory.
 551
 552
 553 #######################################
 554 Reporting bugs & Development Discussion
 555 #######################################
 556
 557 Please discuss this release on the samba-technical mailing list or by
 558 joining the #samba-technical IRC channel on irc.freenode.net.
 559
 560 If you do report problems then please try to send high quality
 561 feedback. If you don't provide vital information to help us track down
 562 the problem then you will probably be ignored.  All bug reports should
 563 be filed under the "Samba 4.1 and newer" product in the project's Bugzilla
 564 database (https://bugzilla.samba.org/).
 565
 566
 567 ======================================================================
 568 == Our Code, Our Bugs, Our Responsibility.
 569 == The Samba Team
 570 ======================================================================
 571
 572
 573 ----------------------------------------------------------------------
 574
 575
 576                    ==============================
 577                    Release Notes for Samba 4.6.0
 578                            March 7, 2017
 579                    ==============================
 580
 581
 582 This is the first stable release of Samba 4.6.
 583 Please read the release notes carefully before upgrading.
 584
 585
 586 UPGRADING
 587 =========
 588
 589 ID Mapping
 590 ----------
 591 We discovered that the majority of users have an invalid or incorrect
 592 ID mapping configuration. We implemented checks in the 'testparm' tool to
 593 validate the ID mapping configuration. You should run it and check if it prints
 594 any warnings or errors after upgrading! If it does you should fix them. See the
 595 'IDENTITY MAPPING CONSIDERATIONS' section in the smb.conf manpage.
 596 There are some ID mapping backends which are not allowed to be used for the
 597 default backend. Winbind will no longer start if an invalid backend is
 598 configured as the default backend.
 599
 600 To avoid problems in future we advise all users to run 'testparm' after
 601 changing the smb.conf file!
 602
 603 vfs_fruit option "fruit:resource" spelling correction
 604 -----------------------------------------------------
 605
 606 Due to a spelling error in the vfs_fruit option parsing for the "fruit:resource"
 607 option, users who have set this option in their smb.conf were still using the
 608 default setting "fruit:resource = file" as the parser was looking for the string
 609 "fruit:ressource" (two "s").
 610
 611 After upgrading to this Samba version 4.6, you MUST either remove the option
 612 from your smb.conf or set it to the default "fruit:resource = file", otherwise
 613 your macOS clients will not be able to access the resource fork data.
 614
 615 This version Samba 4.6 accepts both the correct and incorrect spelling, but the
 616 next Samba version 4.7 will not accept the wrong spelling.
 617
 618 Users who were using the wrong spelling "ressource" with two "s" can keep the
 619 setting, but are advised to switch to the correct spelling.
 620
 621 vfs_fruit Netatalk metadata xattr name on *BSD
 622 ----------------------------------------------
 623
 624 Users on *BSD must rename the metadata xattr used by vfs_fruit when
 625 using the default setting "fruit:metadata = netatalk".
 626
 627 Due to a glitch in the Samba xattr API compatibility layer for FreeBSD and a
 628 mistake in vfs_fruit, vfs_fruit ended up using the wrong xattr name when
 629 configured with "fruit:metadata = netatalk" (default). Instead of the correct
 630
 631   org.netatalk.Metadata
 632
 633 it used
 634
 635   netatalk.Metadata
 636
 637 Starting with Samba 4.6 vfs_fruit will use the correct "org.netatalk.Metadata"
 638 which means existing installations must rename this xattrs. For this purpose
 639 Samba now includes a new tool `mvxattr`. See below for further details.
 640
 641
 642 NEW FEATURES/CHANGES
 643 ====================
 644
 645 Kerberos client encryption types
 646 --------------------------------
 647 Some parts of Samba (most notably winbindd) perform Kerberos client
 648 operations based on a Samba-generated krb5.conf file. A new
 649 parameter, "kerberos encryption types" allows configuring the
 650 encryption types set in this file, thereby allowing the user to
 651 enforce strong or legacy encryption in Kerberos exchanges.
 652
 653 The default value of "all" is compatible with previous behavior, allowing
 654 all encryption algorithms to be negotiated. Setting the parameter to "strong"
 655 only allows AES-based algorithms to be negotiated. Setting the parameter to
 656 "legacy" allows only RC4-HMAC-MD5 - the legacy algorithm for Active Directory.
 657 This can solves some corner cases of mixed environments with Server 2003R2 and
 658 newer DCs.
 659
 660 Printing
 661 --------
 662 Support for uploading printer drivers from newer Windows clients (Windows 10)
 663 has been added until our implementation of [MS-PAR] protocol is ready.
 664 Several issues with uploading different printing drivers have been addressed.
 665
 666 The OS Version for the printing server has been increased to announce
 667 Windows Server 2003 R2 SP2. If a driver needs a newer version then you should
 668 check the smb.conf manpage for details.
 669
 670 New option for owner inheritance
 671 --------------------------------
 672 The "inherit owner" smb.conf parameter instructs smbd to set the
 673 owner of files to be the same as the parent directory's owner.
 674 Up until now, this parameter could be set to "yes" or "no".
 675 A new option, "unix only", enables this feature only for the UNIX owner
 676 of the file, not affecting the SID owner in the Windows NT ACL of the
 677 file. This can be used to emulate something very similar to folder quotas.
 678
 679 Multi-process Netlogon support
 680 ------------------------------
 681
 682 The Netlogon server in the Samba AD DC can now run as multiple
 683 processes.  The Netlogon server is a part of the AD DC that handles
 684 NTLM authentication on behalf of domain members, including file
 685 servers, NTLM-authenticated web servers and 802.1x gateways.  The
 686 previous restriction to running as a single process has been removed,
 687 and it will now run in the same process model as the rest of the
 688 'samba' binary.
 689
 690 As part of this change, the NETLOGON service will now run on a distinct
 691 TCP port, rather than being shared with all other RPC services (LSA,
 692 SAMR, DRSUAPI etc).
 693
 694 New options for controlling TCP ports used for RPC services
 695 -----------------------------------------------------------
 696
 697 The new 'rpc server port' option controls the default port used for
 698 RPC services other than Netlogon.  The Netlogon server honours instead
 699 the 'rpc server port:netlogon' option.  The default value for both
 700 these options is the first available port including or after 1024.
 701
 702 AD LDAP and replication performance improvements
 703 ------------------------------------------------
 704
 705 Samba's LDB (the database holding the AD directory tree, as seen via
 706 LDAP) and our DRSUAPI replication code continues to improve,
 707 particularly in respect to the handling of large numbers of objects or
 708 linked attributes.
 709
 710  * We now respect an 'uptodateness vector' which will dramatically
 711    reduce the over-replication of links from new DCs.
 712
 713  * We have also made the parsing of on-disk linked attributes much
 714    more efficient.
 715
 716  * We rely on ldb 1.1.28.  This ldb version has improved memory
 717    handling for ldb search results, improving poorly indexed and
 718    unindexed search result processing speed by around 20%.
 719
 720 DNS improvements
 721 ----------------
 722
 723 The samba-tool dns subcommand is now much more robust and can delete
 724 records in a number of situations where it was not possible to do so
 725 in the past.
 726
 727 On the server side, DNS names are now more strictly validated.
 728
 729 CTDB changes
 730 ------------
 731
 732 * "ctdb event" is a new top-level command for interacting with event scripts
 733
 734   "ctdb event status" replaces "ctdb scriptstatus" - the latter is
 735   maintained for backward compatibility but the output format has been
 736   cleaned up
 737
 738   "ctdb event run" replaces "ctdb eventscript"
 739
 740   "ctdb event script enable" replaces "ctdb enablescript"
 741
 742   "ctdb event script disable" replaces "ctdb disablescript"
 743
 744   The new command "ctdb event script list" lists event scripts.
 745
 746 * CTDB's back-end for running event scripts has been replaced by a
 747   separate, long-running daemon ctdbd_eventd.
 748
 749 * Running ctdb interactively will log to stderr
 750
 751 * CTDB logs now include process id for each process
 752
 753 * CTDB tags log messages differently.  Changes include:
 754
 755   ctdb-recoverd: Messages from CTDB's recovery daemon
 756   ctdb-recovery: Messages from CTDB database recovery
 757   ctdb-eventd: Messages from CTDB's event daemon
 758   ctdb-takeover: Messages from CTDB's public IP takeover subsystem
 759
 760 * The mapping between symbolic and numeric debug levels has changed
 761
 762   Configurations containing numeric debug levels should be updated.
 763   Symbolic debug levels are recommended.  See the DEBUG LEVEL section
 764   of ctdb(7) for details.
 765
 766 * Tunable IPAllocAlgorithm replaces LCP2PublicIPs, DeterministicIPs
 767
 768   See ctdb-tunables(7) for details.
 769
 770 * CTDB's configuration tunables should be consistently set across a cluster
 771
 772   This has always been the cases for most tunables but this fact is
 773   now documented.
 774
 775 * CTDB ships with recovery lock helper call-outs for etcd and Ceph RADOS
 776
 777   To build/install these, use the "--enable-etcd-reclock" and
 778   "--enable-ceph-reclock" configure options.
 779
 780 winbind changes
 781 ---------------
 782
 783 winbind contains code that tries to emulate the group membership calculation
 784 that domain controllers do when a user logs in. This group membership calculation
 785 is a very complex process, in particular for domain trust relationship
 786 situations. Also, in many scenarios it is impossible for winbind to
 787 correctly do this calculation due to access restrictions in the
 788 domains: winbind using its machine account simply does not have the
 789 rights to ask for an arbitrary user's group memberships.
 790
 791 When a user logs in to a Samba server, the domain controller correctly
 792 calculates the user's group memberships authoritatively and makes the
 793 information available to the Samba server. This is the only reliable
 794 way Samba can get informed about the groups a user is member of.
 795
 796 Because of its flakiness, the fallback group membership code is unwished,
 797 and our code pathes try hard to only use of the group memberships
 798 calculated by the domain controller.
 799
 800 However, a lot of admins rely on the fallback behavior in order to support
 801 access for nfs access, ssh public key authentication and passwordless sudo.
 802
 803 That's the reason for changing this back between 4.6.0rc4 and 4.6.0
 804 (See BUG 12612).
 805
 806 The winbind change to simplify the calculation of supplementary groups to make
 807 it more reliable and predictable has been deferred to 4.7 or later.
 808
 809 This means that 'id <username>' without the user having logged in
 810 previously works similar to 4.5.
 811
 812 winbind primary group and nss info
 813 ----------------------------------
 814
 815 With 4.6, it will be possible to optionally use the primary group as
 816 set in the "Unix Attributes" tab for the local unix token of a domain
 817 user.  Before 4.6, the Windows primary group was always chosen as
 818 primary group for the local unix token.
 819
 820 To activate the unix primary group, set
 821
 822 idmap config <DOMAIN> : unix_primary_group = yes
 823
 824 Similarly, set
 825
 826 idmap config <DOMAIN> : unix_nss_info = yes
 827
 828 to retrieve the home directory and login shell from the "Unix
 829 Attributes" of the user. This supersedes the "winbind nss info"
 830 parameter with a per-domain configuration option.
 831
 832 mvxattr
 833 -------
 834
 835 mvxattr is a simple utility to recursively rename extended attributes of all
 836 files and directories in a directory tree.
 837
 838   Usage: mvxattr -s STRING -d STRING PATH [PATH ...]
 839     -s, --from=STRING         xattr source name
 840     -d, --to=STRING           xattr destination name
 841     -l, --follow-symlinks     follow symlinks, the default is to ignore them
 842     -p, --print               print files where the xattr got renamed
 843     -v, --verbose             print files as they are checked
 844     -f, --force               force overwriting of destination xattr
 845
 846   Help options:
 847     -?, --help                Show this help message
 848     --usage                   Display brief usage message
 849
 850 idmap_hash
 851 ----------
 852
 853 The idmap_hash module is marked as deprecated with this release and will be
 854 removed in a future version. See the manpage of the module for details.
 855
 856
 857 smb.conf changes
 858 ================
 859
 860   Parameter Name                Description             Default
 861   --------------                -----------             -------
 862   kerberos encryption types     New                     all
 863   inherit owner                 New option
 864   fruit:resource                Spelling correction
 865   lsa over netlogon             New (deprecated)        no
 866   rpc server port               New                     0
 867
 868
 869 KNOWN ISSUES
 870 ============
 871
 872 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.6#Release_blocking_bugs
 873
 874
 875 CHANGES SINCE 4.6.0rc4
 876 ======================
 877
 878 o  Jeremy Allison <jra@samba.org>
 879    * BUG 12592: Fix several issues found by covscan.
 880    * BUG 12608: s3: smbd: Restart reading the incoming SMB2 fd when the send
 881      queue is drained.
 882
 883 o  Ralph Boehme <slow@samba.org>
 884    * BUG 12427: vfs_fruit doesn't work with fruit:metadata=stream.
 885    * BUG 12526: vfs_fruit: Only veto AppleDouble files if "fruit:resource" is
 886      set to "file".
 887    * BUG 12604: vfs_fruit: Enabling AAPL extensions must be a global switch.
 888
 889 o  Volker Lendecke <vl@samba.org>
 890    * BUG 12612: Re-enable token groups fallback.
 891
 892 o  Stefan Metzmacher <metze@samba.org>
 893    * BUG 9048: Samba4 ldap error codes.
 894    * BUG 12557: gensec:spnego: Add debug message for the failed principal.
 895    * BUG 12605: s3:winbindd: Fix endless forest trust scan.
 896    * BUG 12612: winbindd: Find the domain based on the sid within
 897      wb_lookupusergroups_send().
 898
 899 o  Andreas Schneider <asn@samba.org>
 900    * BUG 12557: s3:librpc: Handle gss_min in gse_get_client_auth_token()
 901      correctly.
 902    * BUG 12582: idmap_hash: Add a deprecation message, improve the idmap_hash
 903      manpage.
 904    * BUG 12592: Fix several issues found by covscan.
 905
 906 o  Martin Schwenke <martin@meltin.net>
 907    * BUG 12592: ctdb-logging: CID 1396883 Dereference null return value
 908      (NULL_RETURNS).
 909
 910
 911 CHANGES SINCE 4.6.0rc3
 912 ======================
 913
 914 o  Jeremy Allison <jra@samba.org>
 915    * BUG 12545: s3: rpc_server/mdssvc: Add attribute "kMDItemContentType".
 916    * BUG 12572: s3: smbd: Don't loop infinitely on bad-symlink resolution.
 917
 918 o  Ralph Boehme <slow@samba.org>
 919    * BUG 12490: vfs_fruit: Correct Netatalk metadata xattr on FreeBSD.
 920    * BUG 12536: s3/smbd: Check for invalid access_mask
 921      smbd_calculate_access_mask().
 922    * BUG 12591: vfs_streams_xattr: use fsp, not base_fsp.
 923
 924 o  Amitay Isaacs <amitay@gmail.com>
 925    * BUG 12580: ctdb-common: Fix use-after-free error in comm_fd_handler().
 926    * BUG 12595: build: Fix generation of CTDB manpages while creating tarball.
 927
 928 o  Bryan Mason <bmason@redhat.com>
 929    * BUG 12575: Modify smbspool_krb5_wrapper to just fall through to smbspool if
 930      AUTH_INFO_REQUIRED is not set or is not "negotiate".
 931
 932 o  Stefan Metzmacher <metze@samba.org>
 933    * BUG 11830: s3:winbindd: Try a NETLOGON connection with noauth over NCACN_NP
 934      against trusted domains.
 935    * BUG 12262: 'net ads testjoin' and smb access fails after winbindd changed the
 936      trust password.
 937    * BUG 12585: librpc/rpc: fix regression in
 938      NT_STATUS_RPC_ENUM_VALUE_OUT_OF_RANGE error mapping.
 939    * BUG 12586: netlogon_creds_cli_LogonSamLogon doesn't work without
 940      netr_LogonSamLogonEx.
 941    * BUG 12587: winbindd child segfaults on connect to an NT4 domain.
 942    * BUG 12588: s3:winbindd: Make sure cm_prepare_connection() only returns OK
 943      with a valid tree connect.
 944    * BUG 12598: winbindd (as member) requires kerberos against trusted ad domain,
 945      while it shouldn't.
 946    * BUG 12601: Backport pytalloc_GenericObject_reference() related changes to
 947      4.6.
 948
 949 o  Garming Sam <garming@catalyst.net.nz>
 950    * BUG 12600: dbchecker: Stop ignoring linked cases where both objects are
 951      alive.
 952
 953 o  Andreas Schneider <asn@samba.org>
 954    * BUG 12571: s3-vfs: Only walk the directory once in open_and_sort_dir().
 955
 956 o  Martin Schwenke <martin@meltin.net>
 957    * BUG 12589: CTDB statd-callout does not cause grace period when
 958      CTDB_NFS_CALLOUT="".
 959    * BUG 12595: ctdb-build: Fix RPM build.
 960
 961
 962 CHANGES SINCE 4.6.0rc2
 963 ======================
 964
 965 o  Jeremy Allison <jra@samba.org>
 966    * BUG 12499: s3: vfs: dirsort doesn't handle opendir of "." correctly.
 967    * BUG 12546: s3: VFS: vfs_streams_xattr.c: Make streams_xattr_open() store
 968      the same path as streams_xattr_recheck().
 969    * BUG 12531: Make vfs_shadow_copy2 cope with server changing directories.
 970
 971 o  Andrew Bartlett <abartlet@samba.org>
 972    * BUG 12543: samba-tool: Correct handling of default value for use_ntvfs and
 973      use_xattrs.
 974    * BUG 12573: Samba < 4.7 does not know about compatibleFeatures and
 975      requiredFeatures.
 976    * BUG 12577: 'samba-tool dbcheck' gives errors on one-way links after a
 977      rename.
 978
 979 o  Ralph Boehme <slow@samba.org>
 980    * BUG 12184: s3/rpc_server: Shared rpc modules loading.
 981    * BUG 12520: Ensure global "smb encrypt = off" is effective.
 982    * BUG 12524: s3/rpc_server: Move rpc_modules.c to its own subsystem.
 983    * BUG 12541: vfs_fruit: checks wrong AAPL config state and so always uses
 984      readdirattr.
 985
 986 o  Volker Lendecke <vl@samba.org>
 987    * BUG 12551: smbd: Fix "map acl inherit" = yes.
 988
 989 o  Stefan Metzmacher <metze@samba.org>
 990    * BUG 12398: Replication with DRSUAPI_DRS_CRITICAL_ONLY and
 991      DRSUAPI_DRS_GET_ANC results in WERR_DS_DRA_MISSING_PARENT S
 992    * BUG 12540: s3:smbd: allow "server min protocol = SMB3_00" to go via "SMB
 993      2.???" negprot.
 994
 995 o  John Mulligan <jmulligan@nasuni.com>
 996    * BUG 12542: docs: Improve description of "unix_primary_group" parameter in
 997      idmap_ad manpage.
 998
 999 o  Andreas Schneider <asn@samba.org>
1000    * BUG 12552: waf: Do not install the unit test binary for krb5samba.
1001
1002 o  Amitay Isaacs <amitay@gmail.com>
1003    * BUG 12547: ctdb-build: Install CTDB tests correctly from toplevel.
1004    * BUG 12549: ctdb-common: ioctl(.. FIONREAD ..) returns an int value.
1005
1006 o  Garming Sam <garming@catalyst.net.nz>
1007    * BUG 12577: 'samba-tool dbcheck' gives errors on one-way links after a
1008      rename.
1009
1010 o  Uri Simchoni <uri@samba.org>
1011    * BUG 12529: waf: Backport finding of pkg-config.
1012
1013
1014 CHANGES SINCE 4.6.0rc1
1015 ======================
1016
1017 o  Amitay Isaacs <amitay@gmail.com>
1018    * BUG 12469: CTDB lock helper getting stuck trying to lock a record.
1019    * BUG 12500: ctdb-common: Fix a bug in packet reading code for generic socket
1020      I/O.
1021    * BUG 12510: sock_daemon_test 4 crashes with SEGV.
1022    * BUG 12513: ctdb-daemon: Remove stale eventd socket.
1023
1024 o  Björn Jacke <bj@sernet.de>
1025    * BUG 12535: vfs_default: Unlock the right file in copy chunk.
1026
1027 o  Volker Lendecke <vl@samba.org>
1028    * BUG 12509: messaging: Fix dead but not cleaned-up-yet destination sockets.
1029    * BUG 12538: Backport winbind fixes.
1030
1031 o  Stefan Metzmacher <metze@samba.org>
1032    * BUG 12501: s3:winbindd: talloc_steal the extra_data in
1033      winbindd_list_users_recv().
1034
1035 o  Martin Schwenke <martin@meltin.net>
1036    * BUG 12511: ctdb-takeover: Handle case where there are no RELEASE_IPs to
1037      send.
1038    * BUG 12512: ctdb-scripts: Fix remaining uses of "ctdb gratiousarp".
1039    * BUG 12516: ctdb-scripts: /etc/iproute2/rt_tables gets populated with multiple
1040      'default' entries.
1041
1042
1043 #######################################
1044 Reporting bugs & Development Discussion
1045 #######################################
1046
1047 Please discuss this release on the samba-technical mailing list or by
1048 joining the #samba-technical IRC channel on irc.freenode.net.
1049
1050 If you do report problems then please try to send high quality
1051 feedback. If you don't provide vital information to help us track down
1052 the problem then you will probably be ignored.  All bug reports should
1053 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1054 database (https://bugzilla.samba.org/).
1055
1056
1057 ======================================================================
1058 == Our Code, Our Bugs, Our Responsibility.
1059 == The Samba Team
1060 ======================================================================
1061