WHATSNEW.txt

   1 Release Announcements
   2 =====================
   3
   4 This is the first pre release of Samba 4.17.  This is *not*
   5 intended for production environments and is designed for testing
   6 purposes only.  Please report any defects via the Samba bug reporting
   7 system at https://bugzilla.samba.org/.
   8
   9 Samba 4.17 will be the next version of the Samba suite.
  10
  11
  12 UPGRADING
  13 =========
  14
  15
  16 NEW FEATURES/CHANGES
  17 ====================
  18
  19 Bronze bit and S4U support with MIT Kerberos 1.20
  20 -------------------------------------------------
  21
  22 In 2020 Microsoft Security Response Team received another Kerberos-related
  23 report. Eventually, that led to a security update of the CVE-2020-17049,
  24 Kerberos KDC Security Feature Bypass Vulnerability, also known as a ‘Bronze
  25 Bit’. With this vulnerability, a compromised service that is configured to use
  26 Kerberos constrained delegation feature could tamper with a service ticket that
  27 is not valid for delegation to force the KDC to accept it.
  28
  29 With the release of MIT Kerberos 1.20, Samba AD DC is able able to mitigate the
  30 ‘Bronze Bit’ attack. MIT Kerberos KDC's KDB (Kerberos Database Driver) API was
  31 changed to allow passing more details between KDC and KDB components. When built
  32 against MIT Kerberos, Samba AD DC supports MIT Kerberos 1.19 and 1.20 versions
  33 but 'Bronze Bit' mitigation is provided only with MIT Kerberos 1.20.
  34
  35 In addition to fixing the ‘Bronze Bit’ issue, Samba AD DC now fully supports
  36 S4U2Self and S4U2Proxy Kerberos extensions.
  37
  38 Resource Based Constrained Delegation (RBCD) support
  39 ----------------------------------------------------
  40
  41 Samba AD DC built with MIT Kerberos 1.20 offers RBCD support now. With MIT
  42 Kerberos 1.20 we have complete RBCD support passing Sambas S4U testsuite.
  43 Note that samba-tool lacks support for setting this up yet!
  44
  45 To complete RBCD support and make it useful to Administrators we added the
  46 Asserted Identity [1] SID into the PAC for constrained delegation. This is
  47 available for Samba AD compiled with MIT Kerberos 1.20.
  48
  49 [1] https://docs.microsoft.com/en-us/windows-server/security/kerberos/kerberos-constrained-delegation-overview
  50
  51
  52 REMOVED FEATURES
  53 ================
  54
  55
  56 smb.conf changes
  57 ================
  58
  59   Parameter Name                          Description     Default
  60   --------------                          -----------     -------
  61
  62
  63 KNOWN ISSUES
  64 ============
  65
  66 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.17#Release_blocking_bugs
  67
  68
  69 #######################################
  70 Reporting bugs & Development Discussion
  71 #######################################
  72
  73 Please discuss this release on the samba-technical mailing list or by
  74 joining the #samba-technical IRC channel on irc.freenode.net.
  75
  76 If you do report problems then please try to send high quality
  77 feedback. If you don't provide vital information to help us track down
  78 the problem then you will probably be ignored.  All bug reports should
  79 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  80 database (https://bugzilla.samba.org/).
  81
  82
  83 ======================================================================
  84 == Our Code, Our Bugs, Our Responsibility.
  85 == The Samba Team
  86 ======================================================================
  87