WHATSNEW.txt

   1                    =============================
   2                    Release Notes for Samba 4.1.7
   3                            April 17, 2014
   4                    =============================
   5
   6
   7 This is the latest stable release of Samba 4.1.
   8
   9
  10 Changes since 4.1.6:
  11 --------------------
  12
  13 o   Jeremy Allison <jra@samba.org>
  14     * BUG 9878: Make "force user" work as expected.
  15     * BUG 9942: Fix problem with server taking too long to respond to a
  16       MSG_PRINTER_DRVUPGRADE message.
  17     * BUG 9993: s3-printing: Fix obvious memory leak in
  18       printer_list_get_printer().
  19     * BUG 10344: SessionLogoff on a signed connection with an outstanding notify
  20       request crashes smbd.
  21     * BUG 10431: Fix STATUS_NO_MEMORY response from Query File Posix Lock request.
  22     * BUG 10508: smbd: Correctly add remote users into local groups.
  23     * BUG 10534: Cleanup messages.tdb record after unclean smbd shutdown.
  24
  25
  26 o   Christian Ambach <ambi@samba.org>
  27     * BUG 9911: Fix build on AIX with IBM XL C/C++ (gettext detection issues).
  28     * BUG 10308: Fix String Conversion Errors with Samba 4.1.0 Build on AIX 7.1.
  29
  30
  31 o   Gregor Beck <gbeck@sernet.de>
  32     * BUG 10230: Make (lib)smbclient work with NetApp.
  33     * BUG 10458: Fix 'wbinfo -i' with one-way trust.
  34     * s3:rpc_server: Minor refactoring of process_request_pdu().
  35
  36
  37 o   Kai Blin <kai@samba.org>
  38     * BUG 10471: Don't respond with NXDOMAIN to records that exist with another
  39       type.
  40
  41
  42 o   Alexander Bokovoy <ab@samba.org>
  43     * BUG 10504: lsa.idl: Define lsa.ForestTrustCollisionInfo and
  44       ForestTrustCollisionRecord as public structs.
  45
  46
  47 o   Günther Deschner <gd@samba.org>
  48     * BUG 10439: Increase max netbios name components.
  49
  50
  51 o   David Disseldorp <ddiss@samba.org>
  52     * BUG 10188: doc: Add "spoolss: architecture" parameter usage.
  53     * BUG 10484: Initial FSRVP rpcclient requests fail with
  54       NT_STATUS_PIPE_NOT_AVAILABLE.
  55     * BUG 10521: rpcclient FSRVP request UNCs should include a trailing
  56       backslash.
  57
  58
  59 o   Daniel Liberman <danielvl@gmail.com>
  60     * BUG 10387: 'net ads search' on high latency networks can return a partial
  61       list with no error indication.
  62
  63
  64 o   Stefan Metzmacher <metze@samba.org>
  65     * BUG 10200: Make 'smbclient' support DFS shares with SMB2/3.
  66     * BUG 10344: SessionLogoff on a signed connection with an outstanding notify
  67       request crashes smbd.
  68     * BUG 10422: max xmit > 64kb leads to segmentation fault.
  69     * BUG 10444: smbd_server_connection_terminate("CTDB_SRVID_RELEASE_IP")
  70       panics from within ctdbd_migrate() with invalid lock_order.
  71     * BUG 10464: samba4 services not binding on IPv6 addresses causing
  72       connection delays.
  73
  74
  75 o   Garming Sam <garming@catalyst.net.nz>
  76     * BUG 10378: dfs: Always call create_conn_struct with root privileges.
  77
  78
  79 o   Andreas Schneider <asn@cryptomilk.org>
  80     * BUG 10467: s3-vfs: Fix stream_depot vfs module on btrfs.
  81     * BUG 10472: pidl: waf should have an option for the dir to install perl
  82       files and do not glob.
  83     * BUG 10474: s3-spoolssd: Don't register spoolssd if epmd is not running.
  84     * BUG 10481: s3-rpc_server: Fix handling of fragmented rpc requests.
  85
  86
  87 o   Gustavo Zacarias <gustavo@zacarias.com.ar>
  88     * BUG 10506: Make 'smbreadline' build with readline 6.3.
  89
  90
  91 #######################################
  92 Reporting bugs & Development Discussion
  93 #######################################
  94
  95 Please discuss this release on the samba-technical mailing list or by
  96 joining the #samba-technical IRC channel on irc.freenode.net.
  97
  98 If you do report problems then please try to send high quality
  99 feedback. If you don't provide vital information to help us track down
 100 the problem then you will probably be ignored.  All bug reports should
 101 be filed under the Samba 4.1 product in the project's Bugzilla
 102 database (https://bugzilla.samba.org/).
 103
 104
 105 ======================================================================
 106 == Our Code, Our Bugs, Our Responsibility.
 107 == The Samba Team
 108 ======================================================================
 109
 110
 111 Release notes for older releases follow:
 112 ----------------------------------------
 113
 114                    =============================
 115                    Release Notes for Samba 4.1.6
 116                            March 11, 2014
 117                    =============================
 118
 119
 120 This is a security release in order to address
 121 CVE-2013-4496 (Password lockout not enforced for SAMR password changes) and
 122 CVE-2013-6442 (smbcacls can remove a file or directory ACL by mistake).
 123
 124 o  CVE-2013-4496:
 125    Samba versions 3.4.0 and above allow the administrator to implement
 126    locking out Samba accounts after a number of bad password attempts.
 127
 128    However, all released versions of Samba did not implement this check for
 129    password changes, such as are available over multiple SAMR and RAP
 130    interfaces, allowing password guessing attacks.
 131
 132 o  CVE-2013-6442:
 133    Samba versions 4.0.0 and above have a flaw in the smbcacls command. If
 134    smbcacls is used with the "-C|--chown name" or "-G|--chgrp name"
 135    command options it will remove the existing ACL on the object being
 136    modified, leaving the file or directory unprotected.
 137
 138
 139 Changes since 4.1.5:
 140 --------------------
 141
 142 o   Jeremy Allison <jra@samba.org>
 143     * BUG 10327: CVE-2013-6442: ensure we don't lose an existing ACL when
 144       setting owner or group owner.
 145
 146
 147 o   Andrew Bartlett <abartlet@samba.org>
 148     * BUG 10245: CVE-2013-4496: Enforce password lockout for SAMR password
 149       changes.
 150
 151
 152 o   Stefan Metzmacher <metze@samba.org>
 153     * BUG 10245: CVE-2013-4496: Enforce password lockout for SAMR password
 154       changes.
 155
 156
 157 #######################################
 158 Reporting bugs & Development Discussion
 159 #######################################
 160
 161 Please discuss this release on the samba-technical mailing list or by
 162 joining the #samba-technical IRC channel on irc.freenode.net.
 163
 164 If you do report problems then please try to send high quality
 165 feedback. If you don't provide vital information to help us track down
 166 the problem then you will probably be ignored.  All bug reports should
 167 be filed under the Samba 4.1 product in the project's Bugzilla
 168 database (https://bugzilla.samba.org/).
 169
 170
 171 ======================================================================
 172 == Our Code, Our Bugs, Our Responsibility.
 173 == The Samba Team
 174 ======================================================================
 175
 176
 177 ----------------------------------------------------------------------
 178
 179
 180                    =============================
 181                    Release Notes for Samba 4.1.5
 182                          February 21, 2014
 183                    =============================
 184
 185
 186 This is the latest stable release of Samba 4.1.
 187
 188 Major enhancements in Samba 4.1.5 include:
 189
 190 o  Fix 100% CPU utilization in winbindd when trying to free memory in
 191    winbindd_reinit_after_fork (bug #10358).
 192 o  smbd: Fix memory overwrites (bug #10415).
 193
 194
 195 Changes since 4.1.4:
 196 --------------------
 197
 198 o   Michael Adam <obnox@samba.org>
 199     * BUG 10259: Make shadow_copy2 module working with Windows 7.
 200
 201
 202 o   Jeremy Allison <jra@samba.org>
 203     * BUG 2662: Make revamped directory handling code 64bit clean.
 204     * BUG 10320: s3: smbpasswd: Fix crashes on invalid input.
 205     * BUG 10358: Fix 100% CPU utilization in winbindd when trying to free
 206       memory in winbindd_reinit_after_fork.
 207     * BUG 10406: s3: vfs_dirsort module: Allow dirsort to work when multiple
 208       simultaneous directories are open.
 209     * BUG 10429: s3: modules: streaminfo: As we have no VFS function
 210       SMB_VFS_LLISTXATTR we can't cope with a symlink when lp_posix_pathnames()
 211       is true.
 212
 213
 214 o   Alistair Leslie-Hughes <leslie_alistair@hotmail.com>
 215     * BUG 10087: ntlm_auth sometimes returns the wrong username to
 216       mod_ntlm_auth_winbind.
 217
 218
 219 o   Andrew Bartlett <abartlet@samba.org>
 220     * BUG 10418: Fix INTERNAL ERROR: Signal 11 in the kdc pid.
 221
 222
 223 o   Jeffrey Clark <dude@zaplabs.com>
 224     * BUG 10418: Add support for Heimdal's unified krb5 and hdb plugin system.
 225
 226
 227 o   Niels de Vos <ndevos@redhat.com>
 228     * BUG 10384: vfs/glusterfs: In case atime is not passed, set it to the
 229       current atime.
 230
 231
 232 o   David Disseldorp <ddiss@samba.org>
 233     * BUG 10424: vfs_btrfs: Fix incorrect zero length server-side copy request
 234       handling.
 235
 236
 237 o   Volker Lendecke <vl@samba.org>
 238     * BUG 2191: s3-winbind: Improve performance of wb_fill_pwent_sid2uid_done().
 239     * BUG 10415: smbd: Fix memory overwrites.
 240     * BUG 10436: smbd: Fix an ancient oplock bug.
 241
 242
 243 o   Stefan Metzmacher <metze@samba.org>
 244     * BUG 10442: Fix crash bug in smb2_notify code.
 245
 246
 247 o   Andreas Schneider <asn@samba.org>
 248     * BUG 10367: Fix several memory leaks.
 249
 250
 251 o   Jelmer Vernooij <jelmer@samba.org>
 252     * BUG 10418: Cope with first element in hdb_method having a different name
 253       in different heimdal versions.
 254
 255
 256 #######################################
 257 Reporting bugs & Development Discussion
 258 #######################################
 259
 260 Please discuss this release on the samba-technical mailing list or by
 261 joining the #samba-technical IRC channel on irc.freenode.net.
 262
 263 If you do report problems then please try to send high quality
 264 feedback. If you don't provide vital information to help us track down
 265 the problem then you will probably be ignored.  All bug reports should
 266 be filed under the Samba 4.1 product in the project's Bugzilla
 267 database (https://bugzilla.samba.org/).
 268
 269
 270 ======================================================================
 271 == Our Code, Our Bugs, Our Responsibility.
 272 == The Samba Team
 273 ======================================================================
 274
 275
 276 ----------------------------------------------------------------------
 277
 278
 279                    =============================
 280                    Release Notes for Samba 4.1.4
 281                          January 10, 2014
 282                    =============================
 283
 284
 285 This is the latest stable release of Samba 4.1.
 286
 287 Major enhancements in Samba 4.1.4 include:
 288
 289 o  Fix segfault in smbd (bug #10284).
 290 o  Fix SMB2 server panic when a smb2 brlock times out (bug #10311).
 291
 292
 293 Changes since 4.1.3:
 294 --------------------
 295
 296 o   Jeremy Allison <jra@samba.org>
 297     * BUG 9870: smbd: Allow updates on directory write times on open handles.
 298     * BUG 10260: smbclient shows no error if deleting a directory with del
 299       failed.
 300     * BUG 10297: smbd: Fix writing to a directory with -wx permissions
 301       on a share.
 302     * BUG 10305: ldb: bad if test in ldb_comparison_fold().
 303
 304
 305 o   Christian Ambach <ambi@samba.org>
 306     * BUG 10276: Fix waf build error on AIX with IBM XL C/C++.
 307     * BUG 10280: s3:winbindd fix use of uninitialized variables.
 308
 309
 310 o   Michele Baldessari <michele@acksyn.org>
 311     * BUG 10281: Fix typos in man pages.
 312
 313
 314 o   Jan Brummer <jan.brummer@tabos.org>
 315     * BUG 10285: s3-winbindd: Fix DEBUG statement in winbind_msg_offline().
 316
 317
 318 o   Günther Deschner <gd@samba.org>
 319     * BUG 10262: s3-libnetjoin: Use upper-case realm when composing default
 320       upn.
 321     * BUG 10281: Fix numerous typos in man pages.
 322
 323
 324 o   David Disseldorp <ddiss@samba.org>
 325     * BUG 10271: Send correct job-ID in print job notifications.
 326
 327
 328 o   Poornima Gurusiddaiah <pgurusid@redhat.com>
 329     * BUG 10337: vfs_glusterfs: Enable per client log file.
 330
 331
 332 o   Volker Lendecke <vl@samba.org>
 333     * BUG 10250: smbd: Fix a talloc hierarchy problem in msg_channel.
 334     * BUG 10284: smbd: Fix segfaults.
 335     * BUG 10297: smbd: Fix writing to a directory with -wx permissions
 336       on a share.
 337     * BUG 10311: Fix SMB2 server panic when a smb2 brlock times out.
 338
 339
 340 o   Stefan Metzmacher <metze@samba.org>
 341     * BUG 10298: Reduce smb2_server processing overhead.
 342
 343
 344 o   Arvid Requate <requate@univention.de>
 345     * BUG 10267: Fix printing via local printer drivers with Windows 8.
 346
 347
 348 o   Christof Schmitt <cs@samba.org>
 349     * BUG 10310: Fix AIO with SMB2 and locks.
 350
 351
 352 o   Andreas Schneider <asn@samba.org>
 353     * BUG 2191: Fix %G/%g substitution in 'template homedir'.
 354     * BUG 10274: Fix several issues and warnings from analyzer tools.
 355     * BUG 10286: s3-lib: Fix %G substitution for domain users in smbd.
 356
 357
 358 #######################################
 359 Reporting bugs & Development Discussion
 360 #######################################
 361
 362 Please discuss this release on the samba-technical mailing list or by
 363 joining the #samba-technical IRC channel on irc.freenode.net.
 364
 365 If you do report problems then please try to send high quality
 366 feedback. If you don't provide vital information to help us track down
 367 the problem then you will probably be ignored.  All bug reports should
 368 be filed under the Samba 4.1 product in the project's Bugzilla
 369 database (https://bugzilla.samba.org/).
 370
 371
 372 ======================================================================
 373 == Our Code, Our Bugs, Our Responsibility.
 374 == The Samba Team
 375 ======================================================================
 376
 377
 378 ----------------------------------------------------------------------
 379
 380
 381                    =============================
 382                    Release Notes for Samba 4.1.3
 383                          December 9, 2013
 384                    =============================
 385
 386
 387 This is a security release in order to address
 388 CVE-2013-4408 (DCE-RPC fragment length field is incorrectly checked) and
 389 CVE-2012-6150 (pam_winbind login without require_membership_of restrictions).
 390
 391 o  CVE-2013-4408:
 392    Samba versions 3.4.0 and above (versions 3.4.0 - 3.4.17, 3.5.0 -
 393    3.5.22, 3.6.0 - 3.6.21, 4.0.0 - 4.0.12 and including 4.1.2) are
 394    vulnerable to buffer overrun exploits in the client processing of
 395    DCE-RPC packets. This is due to incorrect checking of the DCE-RPC
 396    fragment length in the client code.
 397
 398    This is a critical vulnerability as the DCE-RPC client code is part of
 399    the winbindd authentication and identity mapping daemon, which is
 400    commonly configured as part of many server installations (when joined
 401    to an Active Directory Domain). A malicious Active Directory Domain
 402    Controller or man-in-the-middle attacker impersonating an Active
 403    Directory Domain Controller could achieve root-level access by
 404    compromising the winbindd process.
 405
 406    Samba server versions 3.4.0 - 3.4.17 and versions 3.5.0 - 3.5.22 are
 407    also vulnerable to a denial of service attack (server crash) due to a
 408    similar error in the server code of those versions.
 409
 410    Samba server versions 3.6.0 and above (including all 3.6.x versions,
 411    all 4.0.x versions and 4.1.x) are not vulnerable to this problem.
 412
 413    In addition range checks were missing on arguments returned from calls
 414    to the DCE-RPC functions LookupSids (lsa and samr), LookupNames (lsa and samr)
 415    and LookupRids (samr) which could also cause similar problems.
 416
 417    As this was found during an internal audit of the Samba code there are
 418    no currently known exploits for this problem (as of December 9th 2013).
 419
 420 o  CVE-2012-6150:
 421    Winbind allows for the further restriction of authenticated PAM logins using
 422    the require_membership_of parameter. System administrators may specify a list
 423    of SIDs or groups for which an authenticated user must be a member of. If an
 424    authenticated user does not belong to any of the entries, then login should
 425    fail. Invalid group name entries are ignored.
 426
 427    Samba versions 3.3.10, 3.4.3, 3.5.0 and later incorrectly allow login from
 428    authenticated users if the require_membership_of parameter specifies only
 429    invalid group names.
 430
 431    This is a vulnerability with low impact. All require_membership_of group
 432    names must be invalid for this bug to be encountered.
 433
 434
 435 Changes since 4.1.2:
 436 --------------------
 437
 438 o   Jeremy Allison <jra@samba.org>
 439     * BUG 10185: CVE-2013-4408: Correctly check DCE-RPC fragment length field.
 440
 441
 442 o   Stefan Metzmacher <metze@samba.org>
 443     * BUG 10185: CVE-2013-4408: Correctly check DCE-RPC fragment length field.
 444
 445
 446 o   Noel Power <noel.power@suse.com>
 447     * BUGs 10300, 10306: CVE-2012-6150: Fail authentication if user isn't
 448       member of *any* require_membership_of specified groups.
 449
 450
 451 #######################################
 452 Reporting bugs & Development Discussion
 453 #######################################
 454
 455 Please discuss this release on the samba-technical mailing list or by
 456 joining the #samba-technical IRC channel on irc.freenode.net.
 457
 458 If you do report problems then please try to send high quality
 459 feedback. If you don't provide vital information to help us track down
 460 the problem then you will probably be ignored.  All bug reports should
 461 be filed under the Samba 4.1 product in the project's Bugzilla
 462 database (https://bugzilla.samba.org/).
 463
 464
 465 ======================================================================
 466 == Our Code, Our Bugs, Our Responsibility.
 467 == The Samba Team
 468 ======================================================================
 469
 470
 471 ----------------------------------------------------------------------
 472
 473
 474                    =============================
 475                    Release Notes for Samba 4.1.2
 476                          November 22, 2013
 477                    =============================
 478
 479
 480 This is is the latest stable release of Samba 4.1.
 481
 482
 483 Changes since 4.1.1:
 484 --------------------
 485
 486 o   Jeremy Allison <jra@samba.org>
 487     * BUG 10187: Missing talloc_free can leak stackframe in error path.
 488     * BUG 10196: RW Deny for a specific user is not overriding RW Allow for a
 489       group.
 490
 491
 492 o   Anand Avati <avati@redhat.com>
 493     * BUG 10224: vfs_glusterfs: Implement proper mashalling/unmarshalling of
 494       ACLs.
 495
 496
 497 o   Andrew Bartlett <abartlet@samba.org>
 498     * BUG 10052: dfs_server: Use dsdb_search_one to catch 0 results as well as
 499       NO_SUCH_OBJECT errors.
 500
 501
 502 o   Samuel Cabrero <scabrero@zentyal.com>
 503     * BUG 9091: s4-dns: dlz_bind9: Create dns-HOSTNAME account disabled.
 504
 505
 506 o   Günther Deschner <gd@samba.org>
 507     * BUG 10264: s3-winbindd: Fix cache_traverse_validate_fn failure for
 508       NDR cache entries.
 509
 510
 511 o   Christopher R. Hertel <crh@redhat.com>
 512     * BUG 10224: vfs_glusterfs: Fix excessive debug output from
 513       vfs_gluster_open().
 514
 515
 516 o   Björn Jacke <bj@sernet.de>
 517     * BUG 10247: xattr: Fix listing EAs on *BSD for non-root users.
 518
 519
 520 o   Volker Lendecke <vl@samba.org>
 521     * BUG 10190: Fix memset used with constant zero length parameter.
 522     * BUG 10195: nsswitch: Fix short writes in winbind_write_sock.
 523
 524
 525 o   Stefan Metzmacher <metze@samba.org>
 526     * BUG 10193: s4:dsdb/rootdse: report 'dnsHostName' instead of 'dNSHostName'.
 527     * BUG 10232: libcli/smb: Fix smb2cli_ioctl*() against Windows 2008.
 528
 529
 530 o   Susant Kumar Palai <spalai@redhat.com>
 531     * BUG 10224: VFS plugin was sending the actual size of the volume instead of
 532       the total number of block units because of which windows was getting the
 533       wrong volume capacity.
 534
 535
 536 o   Andreas Schneider <asn@samba.org>
 537     * BUG 10194: Make offline logon cache updating for cross child domain group
 538       membership.
 539     * BUG 10269: util: Remove 32bit macros breaking strict aliasing.
 540     * BUG 10253: Fix the build of vfs_glusterfs.
 541
 542
 543 #######################################
 544 Reporting bugs & Development Discussion
 545 #######################################
 546
 547 Please discuss this release on the samba-technical mailing list or by
 548 joining the #samba-technical IRC channel on irc.freenode.net.
 549
 550 If you do report problems then please try to send high quality
 551 feedback. If you don't provide vital information to help us track down
 552 the problem then you will probably be ignored.  All bug reports should
 553 be filed under the Samba 4.1 product in the project's Bugzilla
 554 database (https://bugzilla.samba.org/).
 555
 556
 557 ======================================================================
 558 == Our Code, Our Bugs, Our Responsibility.
 559 == The Samba Team
 560 ======================================================================
 561
 562
 563 ----------------------------------------------------------------------
 564
 565
 566                    =============================
 567                    Release Notes for Samba 4.1.1
 568                          November 11, 2013
 569                    =============================
 570
 571
 572 This is a security release in order to address
 573 CVE-2013-4475 (ACLs are not checked on opening an alternate
 574 data stream on a file or directory) and
 575 CVE-2013-4476 (Private key in key.pem world readable).
 576
 577 o  CVE-2013-4475:
 578    Samba versions 3.2.0 and above (all versions of 3.2.x, 3.3.x,
 579    3.4.x, 3.5.x, 3.6.x, 4.0.x and 4.1.x) do not check the underlying
 580    file or directory ACL when opening an alternate data stream.
 581
 582    According to the SMB1 and SMB2+ protocols the ACL on an underlying
 583    file or directory should control what access is allowed to alternate
 584    data streams that are associated with the file or directory.
 585
 586    By default no version of Samba supports alternate data streams
 587    on files or directories.
 588
 589    Samba can be configured to support alternate data streams by loading
 590    either one of two virtual file system modues (VFS) vfs_streams_depot or
 591    vfs_streams_xattr supplied with Samba, so this bug only affects Samba
 592    servers configured this way.
 593
 594    To determine if your server is vulnerable, check for the strings
 595    "streams_depot" or "streams_xattr" inside your smb.conf configuration
 596    file.
 597
 598 o  CVE-2013-4476:
 599    In setups which provide ldap(s) and/or https services, the private
 600    key for SSL/TLS encryption might be world readable. This typically
 601    happens in active directory domain controller setups.
 602
 603
 604 Changes since 4.1.0:
 605 --------------------
 606
 607 o   Jeremy Allison <jra@samba.org>
 608     * BUGs 10234 + 10229: CVE-2013-4475: Fix access check verification on stream
 609       files.
 610
 611
 612 o   Björn Baumbach <bb@sernet.de>
 613     * BUG 10234: CVE-2013-4476: Private key in key.pem world readable.
 614
 615
 616 #######################################
 617 Reporting bugs & Development Discussion
 618 #######################################
 619
 620 Please discuss this release on the samba-technical mailing list or by
 621 joining the #samba-technical IRC channel on irc.freenode.net.
 622
 623 If you do report problems then please try to send high quality
 624 feedback. If you don't provide vital information to help us track down
 625 the problem then you will probably be ignored.  All bug reports should
 626 be filed under the Samba 4.1 product in the project's Bugzilla
 627 database (https://bugzilla.samba.org/).
 628
 629
 630 ======================================================================
 631 == Our Code, Our Bugs, Our Responsibility.
 632 == The Samba Team
 633 ======================================================================
 634
 635
 636 ----------------------------------------------------------------------
 637
 638
 639                    =============================
 640                    Release Notes for Samba 4.1.0
 641                          October 11, 2013
 642                    =============================
 643
 644
 645 This is is the first stable release of Samba 4.1.
 646
 647 Samba 4.1 will be the next version of the Samba suite and includes
 648 all the technology found in both the Samba4 series and the stable 3.x
 649 series. The primary additional features over Samba 3.6 are
 650 support for the Active Directory logon protocols used by Windows 2000
 651 and above.
 652
 653 Major enhancements in Samba 4.1.0 include:
 654
 655 Client tools support SMB2/3
 656 ===========================
 657
 658 Samba 4.1.0 contains the first release of our client tools
 659 and client library that work over the new protocols SMB2 or SMB3.
 660 Note that SMB3 only works either to a Samba server version 4.0.0
 661 or above, or to a Windows Server running Windows 2012 or Windows 8.
 662
 663 The default protocol for smbclient and smbcacls is still
 664 SMB1 (the NT1 protocol dialect). An SMB2 or SMB3 connection
 665 can be selected in one of two ways. The easiest way to test
 666 the new protocol connection is to add the -mMAX_PROTOCOL
 667 command line switch to either smbclient or smbcacls.
 668
 669 For example, to connect using SMB3 with smbclient a user
 670 would type:
 671
 672 smbclient //server/share -Uuser%password -mSMB3
 673
 674 Another example of connecting using SMB2 using smbcacls
 675 would be:
 676
 677 smbcacls //server/share -Uuser%password -mSMB2 filename
 678
 679 Note that when connecting using SMB2 or SMB3 protocols
 680 the UNIX extensions are no longer available inside the
 681 smbclient command set. This is due to UNIX extensions
 682 not yet being defined for the SMB2 or SMB3 protocols.
 683
 684 The second way to select SMB2 or SMB3 connections is to
 685 set the "client max protocol" parameter in the [global]
 686 section of your smb.conf.
 687
 688 Setting this parameter will cause all client connections
 689 from Samba and its client tools to offer the requested
 690 max protocol to a server on every connection request.
 691
 692 For example, to cause all client tools (including winbindd,
 693 rpcclient, and the libsmbclient library) to attempt use SMB3
 694 by default add the line:
 695
 696 client max protocol = SMB3
 697
 698 to the [global] section of your smb.conf. This has not
 699 been as widely tested as the -mPROTOCOL options, but
 700 is intended to work correctly in the final release of
 701 4.1.0.
 702
 703 Encrypted transport
 704 ===================
 705
 706 Although Samba servers have supported encrypted transport
 707 connections using the UNIX extensions for many years,
 708 selecting SMB3 transport allows encrypted transport
 709 connections to Windows servers that support SMB3, as
 710 well as Samba servers.
 711
 712 In order to enable this, add the "-e" option to the
 713 smbclient command line.
 714
 715 For example, to connect to a Windows 2012 server over
 716 SMB3 and select an encrypted transport you would use
 717 the following command line:
 718
 719 smbclient //Win2012Server/share -Uuser%password -mSMB3 -e
 720
 721
 722 Directory database replication (AD DC mode)
 723 ===========================================
 724
 725 Directory replication has been reworked in order to improve the
 726 correctness and efficiency.
 727 As a net effect of it, replication with other domain controllers with
 728 a heavily modified schema is now possible (ie. Windows 2012 DCs or
 729 other Windows DC with exchange installed) and replication didn't fail
 730 anymore in such environments.
 731
 732
 733 Server-Side Copy Support
 734 ========================
 735
 736 Samba 4.1.0 adds support for server-side copy operations via the SMB2
 737 FSCTL_SRV_COPYCHUNK request. Clients making use of server-side copy
 738 support, such as Windows Server 2012, should experience considerable
 739 performance improvements for file copy operations, as file data need not
 740 traverse the network.
 741 This feature is enabled by default on the smbd file server.
 742
 743
 744 Btrfs Filesystem Integration
 745 ============================
 746
 747 The Btrfs VFS module provided with Samba 4.1.0 further improves the
 748 performance of server-side copy operations on shares backed by a Btrfs
 749 filesystem. It does so by allowing multiple files to share the same
 750 on-disk extents, avoiding the unnecessary duplication of source and
 751 destination file data during a server-side copy operation.
 752
 753 This feature can be explicitly enabled on smbd shares backed by a Btrfs
 754 filesystem with the smb.conf parameter:
 755 vfs objects = btrfs
 756
 757
 758 REMOVED COMPONENTS
 759 ==================
 760
 761 The Samba Web Administration Tool (SWAT) has been removed.
 762 Details why SWAT has been removed can be found on the samba-technical mailing
 763 list:
 764
 765 https://lists.samba.org/archive/samba-technical/2013-February/090572.html
 766
 767
 768 ######################################################################
 769 Changes
 770 #######
 771
 772 smb.conf changes
 773 ----------------
 774
 775    Parameter Name                       Description     Default
 776    --------------                       -----------     -------
 777
 778    acl allow execute always             New             False
 779    password level                       Removed
 780    set directory                        Removed
 781    use ntdb                             New             No
 782
 783
 784 RUNNING Samba 4.1 as an AD DC
 785 =============================
 786
 787 A short guide to setting up Samba as an AD DC can be found on the wiki:
 788
 789   https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO
 790
 791
 792 COMMIT HIGHLIGHTS
 793 =================
 794
 795 o   Jeremy Allison <jra@samba.org>
 796     * Add SMB2 and SMB3 support for client tools and client library.
 797     * Add support for SMB3 Encrypted transport.
 798
 799
 800 o   David Disseldorp <ddiss@samba.org>
 801     * Add vfs_btrfs module.
 802     * Add support for server-side copy operations via the
 803       SMB2 FSCTL_SRV_COPYCHUNK request.
 804
 805
 806 CHANGES SINCE 4.1.0rc4
 807 ======================
 808
 809 o   Stefan Metzmacher <metze@samba.org>
 810     * BUG 10178: Fix PAC parsing failure.
 811
 812
 813 o   Andreas Schneider <asn@samba.org>
 814     * BUG 10132: pam_winbindd: Support the KEYRING ccache type.
 815
 816
 817 CHANGES SINCE 4.1.0rc3
 818 ======================
 819
 820 o   Michael Adam <obnox@samba.org>
 821     * BUG 10134: Add "acl allow execute always" parameter.
 822
 823
 824 o   Jeremy Allison <jra@samba.org>
 825     * BUG 10139: Valid utf8 filenames cause "invalid conversion error"
 826       messages.
 827     * BUG 10145: Samba SMB2 client code reads the wrong short name length in a
 828       directory listing reply.
 829     * BUG 10149: cli_smb2_get_ea_list_path() failed to close file on exit.
 830     * BUG 10150: Not all OEM servers support the ALTNAME info level.
 831
 832
 833 o   Andrew Bartlett <abartlet@samba.org>
 834     * BUG 8077: dsdb: Convert the full string from UTF16 to UTF8, including
 835       embedded NULLs.
 836     * BUG 9461: python-samba-tool fsmo: Do not give an error on a successful
 837       role transfer.
 838     * BUG 10157: Regression causes replication failure with Windows 2008R2 and
 839       deletes Deleted Objects.
 840
 841
 842 o   Günther Deschner <gd@samba.org>
 843     * BUG 10147: Better document potential implications of a globally used
 844       "valid users".
 845
 846
 847 o   Korobkin <korobkin+samba@gmail.com>
 848     * BUG 10118: Raise the level of a debug when unable to open a printer.
 849
 850
 851 o   Volker Lendecke <vl@samba.org>
 852     * BUG 10008: dbwrap_ctdb: Treat empty records as non-existing.
 853     * BUG 10138: smbd: Always clean up share modes after hard crash.
 854
 855
 856 o   Daniel Liberman <danielvl@gmail.com>
 857     * BUG 10162: Fix POSIX ACL mapping when setting DENY ACE's from Windows.
 858
 859
 860 o   Stefan Metzmacher <metze@samba.org>
 861     * BUG 10144: libcli/smb: Use SMB1 MID=0 for the initial Negprot.
 862     * BUG 10146: libcli/smb: Only check the SMB2 session setup signature if
 863       required and valid.
 864
 865
 866 o   Matthieu Patou <mat@matws.net>
 867     * BUG 10158: Netbios related samba process consumes 100% CPU.
 868
 869
 870 o   Christof Schmitt <christof.schmitt@us.ibm.com>
 871     * BUG 10137: vfs_shadow_copy2: Display previous versions correctly over
 872       SMB2.
 873
 874
 875 CHANGES SINCE 4.1.0rc2
 876 ======================
 877
 878 o   Michael Adam <obnox@samba.org>
 879     * BUG 10107: Fix Winbind crashes on DC with trusted AD domains.
 880
 881
 882 o   Jeremy Allison <jra@samba.org>
 883     * BUG 5917: Fix working on site with Read Only Domain Controller.
 884     * BUG 9974: Add SMB2 and SMB3 support for smbclient.
 885     * BUG 10063: Fix memory leak in source3/lib/util.c:1493.
 886     * BUG 10121: Masks incorrectly applied to UNIX extension permission
 887       changes.
 888
 889
 890 o   Christian Ambach <ambi@samba.org>
 891     * BUG 9911: Build Samba 4.0.x on AIX with IBM XL C/C++.
 892
 893
 894 o   Andrew Bartlett <abartlet@samba.org>
 895     * BUG 9091: When replicating DNS for bind9_dlz we need to create the
 896       server-DNS account remotely.
 897
 898
 899 o   Günther Deschner <gd@samba.org>
 900     * BUG 9615: Winbind unable to retrieve user information from AD.
 901     * BUG 9899: winbind_lookup_names() fails because of
 902       NT_STATUS_CANT_ACCESS_DOMAIN_INFO.
 903     * BUG 10107: Fix Winbind crashes on DC with trusted AD domains.
 904
 905
 906 o   Volker Lendecke <vl@samba.org>
 907     * BUG 10086: smbd: Fix async echo handler forking.
 908     * BUG 10106: Honour output buffer length set by the client for SMB2 GetInfo
 909       requests.
 910     * BUG 10114: Handle Dropbox (write-only-directory) case correctly
 911       in pathname lookup.
 912
 913
 914 o   Stefan Metzmacher <metze@samba.org>
 915     * BUG 10030: ::1 added to nameserver on join.
 916
 917
 918 o   Rusty Russell <rusty@rustcorp.com.au>
 919     * BUG 10000: Add man pages for ntdb tools.
 920
 921
 922 o   Karolin Seeger <kseeger@samba.org>
 923     * BUG 7364: Add man page for vfs_syncops.
 924     * BUG 7490: Add man page for vfs_linux_xfs_sgid.
 925     * BUG 10001: Add man page for samba-regedit tool.
 926     * BUG 10076: Fix variable list in vfs_crossrename man page.
 927
 928
 929 o   Andreas Schneider <asn@samba.org>
 930     * BUG 10073: Fix segmentation fault in 'net ads join'.
 931     * BUG 10082: s3-winbind: Fix a segfault passing NULL to a fstring argument.
 932
 933
 934 o   Richard Sharpe <realrichardsharpe@gmail.com>
 935     * BUG 10097: MacOSX 10.9 will not follow path-based DFS referrals handed
 936       out by Samba.
 937
 938
 939 o   Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 940     * BUG 10106: Honour output buffer length set by the client for SMB2 GetInfo
 941       requests.
 942
 943
 944 CHANGES SINCE 4.1.0rc1
 945 ======================
 946
 947 o   Jeremy Allison <jra@samba.org>
 948     * BUG 9992: Windows error 0x800700FE when copying files with xattr names
 949       containing ":".
 950     * BUG 10010: Missing integer wrap protection in EA list reading can cause
 951       server to loop with DOS (CVE-2013-4124).
 952     * BUG 10064: Linux kernel oplock breaks can miss signals.
 953
 954
 955 o   Andrew Bartlett <abartlet@samba.org>
 956     * BUG 9029: Fix replication with --domain-crictical-only to fill in
 957       backlinks.
 958     * BUG 9820: Fix crash of winbind after "ls -l
 959       /usr/local/samba/var/locks/sysvol".
 960     * BUG 10056: dsdb improvements.
 961
 962
 963 o   Björn Baumbach <bb@sernet.de>
 964     * BUG 10003: Fix segfault while reading incomplete session info.
 965
 966
 967 o   Gregor Beck <gbeck@sernet.de>
 968     * BUG 9678: Windows 8 Roaming profiles fail.
 969
 970
 971 o   Günther Deschner <gd@samba.org>
 972     * BUG 10043: Allow to change the default location for Kerberos credential
 973       caches.
 974
 975
 976 o   Volker Lendecke <vl@samba.org>
 977     * BUG 10013: Fix a 100% loop at shutdown time (smbd).
 978
 979
 980 o   Stefan Metzmacher <metze@samba.org>
 981     * BUG 9820: Fix crash of winbind after "ls -l
 982       /usr/local/samba/var/locks/sysvol".
 983     * BUG 10015: Fix/improve debug options.
 984     * BUG 10042: Fix crashes in socket_get_local_addr().
 985     * BUG 10056: dsdb improvements.
 986
 987
 988 o   Andreas Schneider <asn@samba.org>
 989     * BUG 9994: Do not delete an existing valid credential cache (s3-winbind).
 990     * BUG 10040: Rename regedit to samba-regedit.
 991     * BUG 10041: Remove obsolete swat manpage and references.
 992     * BUG 10048: nsswitch: Add OPT_KRB5CCNAME to avoid an error message.
 993
 994
 995 o   Alexander Werth <alexander.werth@de.ibm.com>
 996     * BUG 10045: Remove a redundant inlined substitution of ACLs.
 997
 998
 999 o   Ralph Wuerthner <ralphw@de.ibm.com>
1000     * BUG 10064: Linux kernel oplock breaks can miss signals.
1001
1002
1003 #######################################
1004 Reporting bugs & Development Discussion
1005 #######################################
1006
1007 Please discuss this release on the samba-technical mailing list or by
1008 joining the #samba-technical IRC channel on irc.freenode.net.
1009
1010 If you do report problems then please try to send high quality
1011 feedback. If you don't provide vital information to help us track down
1012 the problem then you will probably be ignored.  All bug reports should
1013 be filed under the Samba 4.1 product in the project's Bugzilla
1014 database (https://bugzilla.samba.org/).
1015
1016
1017 ======================================================================
1018 == Our Code, Our Bugs, Our Responsibility.
1019 == The Samba Team
1020 ======================================================================
1021