NEWS

   1 Changes in release 0.7
   2
   3  * SPENGO support
   4
   5  * AES (and the gssapi conterpart, CFX) support
   6
   7  * Bug fixes
   8
   9 Changes in release 0.6.3
  10
  11  * fix vulnerabilities in ftpd
  12
  13  * support for linux AFS /proc "syscalls"
  14
  15  * support for RFC3244 (Windows 2000 Kerberos Change/Set Password) in
  16    kpasswdd
  17
  18  * fix possible KDC denial of service
  19
  20  * bug fixes
  21
  22 Changes in release 0.6.2
  23
  24  * Fix possible buffer overrun in v4 kadmin (which now defaults to off)
  25
  26 Changes in release 0.6.1
  27
  28  * Fixed ARCFOUR suppport
  29
  30  * Cross realm vulnerability
  31
  32  * kdc: fix denial of service attack
  33
  34  * kdc: stop clients from renewing tickets into the future
  35
  36  * bug fixes
  37
  38 Changes in release 0.6
  39
  40 * The DES3 GSS-API mechanism has been changed to inter-operate with
  41   other GSSAPI implementations. See man page for gssapi(3) how to turn
  42   on generation of correct MIC messages. Next major release of heimdal
  43   will generate correct MIC by default.
  44
  45 * More complete GSS-API support
  46
  47 * Better AFS support: kdc (524) supports 2b; 524 in kdc and AFS
  48   support in applications no longer requires Kerberos 4 libs
  49
  50 * Kerberos 4 support in kdc defaults to turned off (includes ka and 524)
  51
  52 * other bug fixes
  53
  54 Changes in release 0.5.2
  55
  56  * kdc: add option for disabling v4 cross-realm (defaults to off)
  57
  58  * bug fixes
  59
  60 Changes in release 0.5.1
  61
  62  * kadmind: fix remote exploit
  63
  64  * kadmind: add option to disable kerberos 4
  65
  66  * kdc: make sure kaserver token life is positive
  67
  68  * telnet: use the session key if there is no subkey
  69
  70  * fix EPSV parsing in ftp
  71
  72  * other bug fixes
  73
  74 Changes in release 0.5
  75
  76  * add --detach option to kdc
  77
  78  * allow setting forward and forwardable option in telnet from
  79    .telnetrc, with override from command line
  80
  81  * accept addresses with or without ports in krb5_rd_cred
  82
  83  * make it work with modern openssl
  84
  85  * use our own string2key function even with openssl (that handles weak
  86    keys incorrectly)
  87
  88  * more system-specific requirements in login
  89
  90  * do not use getlogin() to determine root in su
  91
  92  * telnet: abort if telnetd does not support encryption
  93
  94  * update autoconf to 2.53
  95
  96  * update config.guess, config.sub
  97
  98  * other bug fixes
  99
 100 Changes in release 0.4e
 101
 102  * improve libcrypto and database autoconf tests
 103
 104  * do not care about salting of server principals when serving v4 requests
 105
 106  * some improvements to gssapi library
 107
 108  * test for existing compile_et/libcom_err
 109
 110  * portability fixes
 111
 112  * bug fixes
 113
 114 Changes in release 0.4d
 115
 116  * fix some problems when using libcrypto from openssl
 117
 118  * handle /dev/ptmx `unix98' ptys on Linux
 119
 120  * add some forgotten man pages
 121
 122  * rsh: clean-up and add man page
 123
 124  * fix -A and -a in builtin-ls in tpd
 125
 126  * fix building problem on Irix
 127
 128  * make `ktutil get' more efficient
 129
 130  * bug fixes
 131
 132 Changes in release 0.4c
 133
 134  * fix buffer overrun in telnetd
 135
 136  * repair some of the v4 fallback code in kinit
 137
 138  * add more shared library dependencies
 139
 140  * simplify and fix hprop handling of v4 databases
 141
 142  * fix some building problems (osf's sia and osfc2 login)
 143
 144  * bug fixes
 145
 146 Changes in release 0.4b
 147
 148  * update the shared library version numbers correctly
 149
 150 Changes in release 0.4a
 151
 152  * corrected key used for checksum in mk_safe, unfortunately this
 153    makes it backwards incompatible
 154
 155  * update to autoconf 2.50, libtool 1.4
 156
 157  * re-write dns/config lookups (krb5_krbhst API)
 158
 159  * make order of using subkeys consistent
 160
 161  * add man page links
 162
 163  * add more man pages
 164
 165  * remove rfc2052 support, now only rfc2782 is supported
 166
 167  * always build with kaserver protocol support in the KDC (assuming
 168    KRB4 is enabled) and support for reading kaserver databases in
 169    hprop
 170
 171 Changes in release 0.3f
 172
 173  * change default keytab to ANY:FILE:/etc/krb5.keytab,krb4:/etc/srvtab,
 174    the new keytab type that tries both of these in order (SRVTAB is
 175    also an alias for krb4:)
 176
 177  * improve error reporting and error handling (error messages should
 178    be more detailed and more useful)
 179
 180  * improve building with openssl
 181
 182  * add kadmin -K, rcp -F
 183
 184  * fix two incorrect weak DES keys
 185
 186  * fix building of kaserver compat in KDC
 187
 188  * the API is closer to what MIT krb5 is using
 189
 190  * more compatible with windows 2000
 191
 192  * removed some memory leaks
 193
 194  * bug fixes
 195
 196 Changes in release 0.3e
 197
 198  * rcp program included
 199
 200  * fix buffer overrun in ftpd
 201
 202  * handle omitted sequence numbers as zeroes to handle MIT krb5 that
 203    cannot generate zero sequence numbers
 204
 205  * handle v4 /.k files better
 206
 207  * configure/portability fixes
 208
 209  * fixes in parsing of options to kadmin (sub-)commands
 210
 211  * handle errors in kadmin load better
 212
 213  * bug fixes
 214
 215 Changes in release 0.3d
 216
 217  * add krb5-config
 218
 219  * fix a bug in 3des gss-api mechanism, making it compatible with the
 220    specification and the MIT implementation
 221
 222  * make telnetd only allow a specific list of environment variables to
 223    stop it from setting `sensitive' variables
 224
 225  * try to use an existing libdes
 226
 227  * lib/krb5, kdc: use correct usage type for ap-req messages.  This
 228    should improve compatability with MIT krb5 when using 3DES
 229    encryption types
 230
 231  * kdc: fix memory allocation problem
 232
 233  * update config.guess and config.sub
 234
 235  * lib/roken: more stuff implemented
 236
 237  * bug fixes and portability enhancements
 238
 239 Changes in release 0.3c
 240
 241  * lib/krb5: memory caches now support the resolve operation
 242
 243  * appl/login: set PATH to some sane default
 244
 245  * kadmind: handle several realms
 246
 247  * bug fixes (including memory leaks)
 248
 249 Changes in release 0.3b
 250
 251  * kdc: prefer default-salted keys on v5 requests
 252
 253  * kdc: lowercase hostnames in v4 mode
 254
 255  * hprop: handle more types of MIT salts
 256
 257  * lib/krb5: fix memory leak
 258
 259  * bug fixes
 260
 261 Changes in release 0.3a:
 262
 263  * implement arcfour-hmac-md5 to interoperate with W2K
 264
 265  * modularise the handling of the master key, and allow for other
 266    encryption types. This makes it easier to import a database from
 267    some other source without having to re-encrypt all keys.
 268
 269  * allow for better control over which encryption types are created
 270
 271  * make kinit fallback to v4 if given a v4 KDC
 272
 273  * make klist work better with v4 and v5, and add some more MIT
 274    compatibility options
 275
 276  * make the kdc listen on the krb524 (4444) port for compatibility
 277    with MIT krb5 clients
 278
 279  * implement more DCE/DFS support, enabled with --enable-dce, see
 280    lib/kdfs and appl/dceutils
 281
 282  * make the sequence numbers work correctly
 283
 284  * bug fixes
 285
 286 Changes in release 0.2t:
 287
 288  * bug fixes
 289
 290 Changes in release 0.2s:
 291
 292  * add OpenLDAP support in hdb
 293
 294  * login will get v4 tickets when it receives forwarded tickets
 295
 296  * xnlock supports both v5 and v4
 297
 298  * repair source routing for telnet
 299
 300  * fix building problems with krb4 (krb_mk_req)
 301
 302  * bug fixes
 303
 304 Changes in release 0.2r:
 305
 306  * fix realloc memory corruption bug in kdc
 307
 308  * `add --key' and `cpw --key' in kadmin
 309
 310  * klist supports listing v4 tickets
 311
 312  * update config.guess and config.sub
 313
 314  * make v4 -> v5 principal name conversion more robust
 315
 316  * support for anonymous tickets
 317
 318  * new man-pages
 319
 320  * telnetd: do not negotiate KERBEROS5 authentication if there's no keytab.
 321
 322  * use and set expiration and not password expiration when dumping
 323    to/from ka server databases / krb4 databases
 324
 325  * make the code happier with 64-bit time_t
 326
 327  * follow RFC2782 and by default do not look for non-underscore SRV names
 328
 329 Changes in release 0.2q:
 330
 331  * bug fix in tcp-handling in kdc
 332
 333  * bug fix in expand_hostname
 334
 335 Changes in release 0.2p:
 336
 337  * bug fix in `kadmin load/merge'
 338
 339  * bug fix in krb5_parse_address
 340
 341 Changes in release 0.2o:
 342
 343  * gss_{import,export}_sec_context added to libgssapi
 344
 345  * new option --addresses to kdc (for listening on an explicit set of
 346    addresses)
 347
 348  * bug fixes in the krb4 and kaserver emulation part of the kdc
 349
 350  * other bug fixes
 351
 352 Changes in release 0.2n:
 353
 354  * more robust parsing of dump files in kadmin
 355  * changed default timestamp format for log messages to extended ISO
 356    8601 format (Y-M-DTH:M:S)
 357  * changed md4/md5/sha1 APIes to be de-facto `standard'
 358  * always make hostname into lower-case before creating principal
 359  * small bits of more MIT-compatability
 360  * bug fixes
 361
 362 Changes in release 0.2m:
 363
 364  * handle glibc's getaddrinfo() that returns several ai_canonname
 365
 366  * new endian test
 367
 368  * man pages fixes
 369
 370 Changes in release 0.2l:
 371
 372  * bug fixes
 373
 374 Changes in release 0.2k:
 375
 376  * better IPv6 test
 377
 378  * make struct sockaddr_storage in roken work better on alphas
 379
 380  * some missing [hn]to[hn]s fixed.
 381
 382  * allow users to change their own passwords with kadmin (with initial
 383    tickets)
 384
 385  * fix stupid bug in parsing KDC specification
 386
 387  * add `ktutil change' and `ktutil purge'
 388
 389 Changes in release 0.2j:
 390
 391  * builds on Irix
 392
 393  * ftpd works in passive mode
 394
 395  * should build on cygwin
 396
 397  * work around broken IPv6-code on OpenBSD 2.6, also add configure
 398    option --disable-ipv6
 399
 400 Changes in release 0.2i:
 401
 402  * use getaddrinfo in the missing places.
 403
 404  * fix SRV lookup for admin server
 405
 406  * use get{addr,name}info everywhere.  and implement it in terms of
 407    getipnodeby{name,addr} (which uses gethostbyname{,2} and
 408    gethostbyaddr)
 409
 410 Changes in release 0.2h:
 411
 412  * fix typo in kx (now compiles)
 413
 414 Changes in release 0.2g:
 415
 416  * lots of bug fixes:
 417    * push works
 418    * repair appl/test programs
 419    * sockaddr_storage works on solaris (alignment issues)
 420    * works better with non-roken getaddrinfo
 421    * rsh works
 422    * some non standard C constructs removed
 423
 424 Changes in release 0.2f:
 425
 426  * support SRV records for kpasswd
 427  * look for both _kerberos and krb5-realm when doing host -> realm mapping
 428
 429 Changes in release 0.2e:
 430
 431  * changed copyright notices to remove `advertising'-clause.
 432  * get{addr,name}info added to roken and used in the other code
 433    (this makes things work much better with hosts with both v4 and v6
 434     addresses, among other things)
 435  * do pre-auth for both password and key-based get_in_tkt
 436  * support for having several databases
 437  * new command `del_enctype' in kadmin
 438  * strptime (and new strftime) add to roken
 439  * more paranoia about finding libdb
 440  * bug fixes
 441
 442 Changes in release 0.2d:
 443
 444  * new configuration option [libdefaults]default_etypes_des
 445  * internal ls in ftpd builds without KRB4
 446  * kx/rsh/push/pop_debug tries v5 and v4 consistenly
 447  * build bug fixes
 448  * other bug fixes
 449
 450 Changes in release 0.2c:
 451
 452  * bug fixes (see ChangeLog's for details)
 453
 454 Changes in release 0.2b:
 455
 456  * bug fixes
 457  * actually bump shared library versions
 458
 459 Changes in release 0.2a:
 460
 461  * a new program verify_krb5_conf for checking your /etc/krb5.conf
 462  * add 3DES keys when changing password
 463  * support null keys in database
 464  * support multiple local realms
 465  * implement a keytab backend for AFS KeyFile's
 466  * implement a keytab backend for v4 srvtabs
 467  * implement `ktutil copy'
 468  * support password quality control in v4 kadmind
 469  * improvements in v4 compat kadmind
 470  * handle the case of having the correct cred in the ccache but with
 471    the wrong encryption type better
 472  * v6-ify the remaining programs.
 473  * internal ls in ftpd
 474  * rename strcpy_truncate/strcat_truncate to strlcpy/strlcat
 475  * add `ank --random-password' and `cpw --random-password' in kadmin
 476  * some programs and documentation for trying to talk to a W2K KDC
 477  * bug fixes
 478
 479 Changes in release 0.1m:
 480
 481  * support for getting default from krb5.conf for kinit/kf/rsh/telnet.
 482    From Miroslav Ruda <ruda@ics.muni.cz>
 483  * v6-ify hprop and hpropd
 484  * support numeric addresses in krb5_mk_req
 485  * shadow support in login and su. From Miroslav Ruda <ruda@ics.muni.cz>
 486  * make rsh/rshd IPv6-aware
 487  * make the gssapi sample applications better at reporting errors
 488  * lots of bug fixes
 489  * handle systems with v6-aware libc and non-v6 kernels (like Linux
 490    with glibc 2.1) better
 491  * hide failure of ERPT in ftp
 492  * lots of bug fixes
 493
 494 Changes in release 0.1l:
 495
 496  * make ftp and ftpd IPv6-aware
 497  * add inet_pton to roken
 498  * more IPv6-awareness
 499  * make mini_inetd v6 aware
 500
 501 Changes in release 0.1k:
 502
 503  * bump shared libraries versions
 504  * add roken version of inet_ntop
 505  * merge more changes to rshd
 506
 507 Changes in release 0.1j:
 508
 509  * restore back to the `old' 3DES code.  This was supposed to be done
 510    in 0.1h and 0.1i but I did a CVS screw-up.
 511  * make telnetd handle v6 connections
 512
 513 Changes in release 0.1i:
 514
 515  * start using `struct sockaddr_storage' which simplifies the code
 516    (with a fallback definition if it's not defined)
 517  * bug fixes (including in hprop and kf)
 518  * don't use mawk which seems to mishandle roken.awk
 519  * get_addrs should be able to handle v6 addresses on Linux (with the
 520    required patch to the Linux kernel -- ask within)
 521  * rshd builds with shadow passwords
 522
 523 Changes in release 0.1h:
 524
 525  * kf: new program for forwarding credentials
 526  * portability fixes
 527  * make forwarding credentials work with MIT code
 528  * better conversion of ka database
 529  * add etc/services.append
 530  * correct `modified by' from kpasswdd
 531  * lots of bug fixes
 532
 533 Changes in release 0.1g:
 534
 535  * kgetcred: new program for explicitly obtaining tickets
 536  * configure fixes
 537  * krb5-aware kx
 538  * bug fixes
 539
 540 Changes in release 0.1f;
 541
 542  * experimental support for v4 kadmin protokoll in kadmind
 543  * bug fixes
 544
 545 Changes in release 0.1e:
 546
 547  * try to handle old DCE and MIT kdcs
 548  * support for older versions of credential cache files and keytabs
 549  * postdated tickets work
 550  * support for password quality checks in kpasswdd
 551  * new flag --enable-kaserver for kdc
 552  * renew fixes
 553  * prototype su program
 554  * updated (some) manpages
 555  * support for KDC resource records
 556  * should build with --without-krb4
 557  * bug fixes
 558
 559 Changes in release 0.1d:
 560
 561  * Support building with DB2 (uses 1.85-compat API)
 562  * Support krb5-realm.DOMAIN in DNS
 563  * new `ktutil srvcreate'
 564  * v4/kafs support in klist/kdestroy
 565  * bug fixes
 566
 567 Changes in release 0.1c:
 568
 569  * fix ASN.1 encoding of signed integers
 570  * somewhat working `ktutil get'
 571  * some documentation updates
 572  * update to Autoconf 2.13 and Automake 1.4
 573  * the usual bug fixes
 574
 575 Changes in release 0.1b:
 576
 577  * some old -> new crypto conversion utils
 578  * bug fixes
 579
 580 Changes in release 0.1a:
 581
 582  * new crypto code
 583  * more bug fixes
 584  * make sure we ask for DES keys in gssapi
 585  * support signed ints in ASN1
 586  * IPv6-bug fixes
 587
 588 Changes in release 0.0u:
 589
 590  * lots of bug fixes
 591
 592 Changes in release 0.0t:
 593
 594  * more robust parsing of krb5.conf
 595  * include net{read,write} in lib/roken
 596  * bug fixes
 597
 598 Changes in release 0.0s:
 599
 600  * kludges for parsing options to rsh
 601  * more robust parsing of krb5.conf
 602  * removed some arbitrary limits
 603  * bug fixes
 604
 605 Changes in release 0.0r:
 606
 607  * default options for some programs
 608  * bug fixes
 609
 610 Changes in release 0.0q:
 611
 612  * support for building shared libraries with libtool
 613  * bug fixes
 614
 615 Changes in release 0.0p:
 616
 617  * keytab moved to /etc/krb5.keytab
 618  * avoid false detection of IPv6 on Linux
 619  * Lots of more functionality in the gssapi-library
 620  * hprop can now read ka-server databases
 621  * bug fixes
 622
 623 Changes in release 0.0o:
 624
 625  * FTP with GSSAPI support.
 626  * Bug fixes.
 627
 628 Changes in release 0.0n:
 629
 630  * Incremental database propagation.
 631  * Somewhat improved kadmin ui; the stuff in admin is now removed.
 632  * Some support for using enctypes instead of keytypes.
 633  * Lots of other improvement and bug fixes, see ChangeLog for details.