WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.5.11
   3                             July 6, 2017
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.5 release series.
   8
   9
  10 Changes since 4.5.10:
  11 ---------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 12793: s3: smbd: Fix open_files.idl to correctly ignore
  15      share_mode_lease *lease in share_mode_entry.
  16    * BUG 12804: s3: VFS: Catia: Ensure path name is also converted.
  17    * BUG 12818: s3: smbd: When deleting an fsp pointer ensure we don't keep
  18      any references to it around.
  19    * BUG 12831: s3: libsmb: Correctly save and restore connection tcon
  20      in 'smbclient', 'smbcacls' and 'smbtorture3'.
  21
  22 o  Ralph Boehme <slow@samba.org>
  23    * BUG 12798: s3/smbd: Fix exclusive lease optimisation.
  24
  25 o  Amitay Isaacs <amitay@gmail.com>
  26    * BUG 12856: ctdb-scripts: Don't send empty argument string to logger.
  27    * BUG 12857: ctdb-recovery: Do not run local ip verification when in
  28      recovery.
  29
  30 o  Daniel Kobras <d.kobras@science-computing.de>
  31    * BUG 12860: s3: smbd: Fix regression with non-wide symlinks to directories
  32      over SMB3.
  33
  34 o  Stefan Metzmacher <metze@samba.org>
  35    * BUG 12768: samba-tool: Fix log message of 'samba-tool user syncpasswords'.
  36    * BUG 12772: s3:smbd: unimplement FSCTL_VALIDATE_NEGOTIATE_INFO with
  37      "server max protocol = SMB2_02".
  38    * BUG 12788: auth/spnego: Fix gensec_update_ev() argument order for
  39      the SPNEGO_FALLBACK case.
  40    * BUG 12832: s3:smb2_create: Avoid reusing the 'tevent_req' within
  41      smbd_smb2_create_send().
  42    * BUG 12844: Related requests with TreeConnect fail with
  43      NETWORK_NAME_DELETED.
  44    * BUG 12845: Related requests with SessionSetup fail with INTERNAL_ERROR.
  45    * BUG 12859: ldb: protect Samba < 4.7 against incompatible ldb
  46      versions and require ldb < 1.2.0.
  47    * BUG 12862: auth/ntlmssp: Enforce NTLMSSP_NEGOTIATE_NTLM2 for the NTLMv2
  48      client case.
  49
  50 o  Michael Saxl <mike@mwsys.mine.bz>
  51    * BUG 10490: s3:gse_krb5: Fix a possible crash in
  52      fill_mem_keytab_from_system_keytab().
  53
  54 o  Andreas Schneider <asn@samba.org>
  55    * BUG 12808: libcli:smb2: Gracefully handle not supported for
  56      FSCTL_VALIDATE_NEGOTIATE_INFO.
  57
  58 o  Martin Schwenke <martin@meltin.net>
  59    * BUG 12802: 'ctdb nodestatus' incorrectly displays status for all nodes
  60      with wrong exit code.
  61    * BUG 12837: ctdb-scripts: NFS call-out failures should cause event failure.
  62
  63 o  Richard Sharpe <richard.sharpe@primarydata.com>
  64    * BUG 15852: There are valid paths where conn->lsa_pipe_tcp->transport
  65      is NULL.
  66
  67
  68 #######################################
  69 Reporting bugs & Development Discussion
  70 #######################################
  71
  72 Please discuss this release on the samba-technical mailing list or by
  73 joining the #samba-technical IRC channel on irc.freenode.net.
  74
  75 If you do report problems then please try to send high quality
  76 feedback. If you don't provide vital information to help us track down
  77 the problem then you will probably be ignored.  All bug reports should
  78 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  79 database (https://bugzilla.samba.org/).
  80
  81
  82 ======================================================================
  83 == Our Code, Our Bugs, Our Responsibility.
  84 == The Samba Team
  85 ======================================================================
  86
  87
  88 Release notes for older releases follow:
  89 ----------------------------------------
  90
  91                    ==============================
  92                    Release Notes for Samba 4.5.10
  93                             May 24, 2017
  94                    ==============================
  95
  96
  97 This is a security release in order to address the following defect:
  98
  99 o  CVE-2017-7494 (Remote code execution from a writable share)
 100
 101 =======
 102 Details
 103 =======
 104
 105 o  CVE-2017-7494:
 106    All versions of Samba from 3.5.0 onwards are vulnerable to a remote
 107    code execution vulnerability, allowing a malicious client to upload a
 108    shared library to a writable share, and then cause the server to load
 109    and execute it.
 110
 111
 112 Changes since 4.5.9:
 113 --------------------
 114
 115 o  Volker Lendecke <vl@samba.org>
 116    * BUG 12780: CVE-2017-7494: Avoid remote code execution from a writable
 117      share.
 118
 119
 120 #######################################
 121 Reporting bugs & Development Discussion
 122 #######################################
 123
 124 Please discuss this release on the samba-technical mailing list or by
 125 joining the #samba-technical IRC channel on irc.freenode.net.
 126
 127 If you do report problems then please try to send high quality
 128 feedback. If you don't provide vital information to help us track down
 129 the problem then you will probably be ignored.  All bug reports should
 130 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 131 database (https://bugzilla.samba.org/).
 132
 133
 134 ======================================================================
 135 == Our Code, Our Bugs, Our Responsibility.
 136 == The Samba Team
 137 ======================================================================
 138
 139
 140 ----------------------------------------------------------------------
 141
 142
 143                    =============================
 144                    Release Notes for Samba 4.5.9
 145                             May 18, 2017
 146                    =============================
 147
 148
 149 This is the latest stable release of the Samba 4.5 release series.
 150
 151
 152 Changes since 4.5.8:
 153 --------------------
 154
 155 o  Michael Adam <obnox@samba.org>
 156    * BUG 12743: vfs_shadow_copy2 fails to list snapshots from shares with
 157      GlusterFS backend.
 158
 159 o  Jeremy Allison <jra@samba.org>
 160    * BUG 12747: Wrong use of getgroups causes buffer overflow.
 161
 162 o  Hanno Böck <hanno@hboeck.de>
 163    * BUG 12746: lib: debug: Avoid negative array access.
 164    * BUG 12748: cleanupdb: Fix a memory read error.
 165
 166 o  Ralph Boehme <slow@samba.org>
 167    * BUG 11961: idmap_autorid allocates ids for unknown SIDs from other backends.
 168    * BUG 12562: vfs_acl_common should force "create mask = 0777".
 169    * BUG 12565: vfs_fruit: resource fork open request with
 170      flags=O_CREAT|O_RDONLY.
 171    * BUG 12727: Lookup-domain for well-known SIDs on a DC.
 172    * BUG 12728: winbindd: Fix error handling in rpc_lookup_sids().
 173    * BUG 12729: winbindd: Trigger possible passdb_dsdb initialisation.
 174    * BUG 12749: Can't case-rename files with vfs_fruit.
 175    * BUG 12766: s3/smbd: Update exclusive oplock optimisation to the lease area.
 176
 177 o  Amitay Isaacs <amitay@gmail.com>
 178    * BUG 12733: ctdb-docs: Fix documentation of "-n" option to 'ctdb tool'.
 179
 180 o  Shilpa Krishnareddy <skrishnareddy@panzura.com>
 181    * BUG 12756: notify: Fix ordering of events in notifyd.
 182
 183 o  Volker Lendecke <vl@samba.org>
 184    * BUG 12276: lib: Fix CID 1373623 Dereference after null check.
 185    * BUG 12558: smbd: Fix smb1 findfirst with DFS.
 186    * BUG 12757: idmap_rfc2307: Fix lookup of more than two SIDs.
 187
 188 o  Stefan Metzmacher <metze@samba.org>
 189    * BUG 12767: samba-tool: Let 'samba-tool user syncpasswords' report deletions
 190      immediately.
 191    * BUG 12725: pam_winbind: no longer use wbcUserPasswordPolicyInfo when
 192      authenticating.
 193
 194 o  Doug Nazar <nazard@nazar.ca>
 195    * BUG 12760: s3: smbd: inotify_map_mask_to_filter incorrectly indexes an
 196      array.
 197
 198 o  Christof Schmitt <cs@samba.org>
 199    * BUG 12725: winbindd: Fix password policy for pam authentication.
 200
 201 o  Andreas Schneider <asn@samba.org>
 202    * BUG 12277: waf: Explicitly link libreplace against libnss_wins.so.
 203
 204 o  Uri Simchoni <uri@samba.org>
 205    * BUG 12737: vfs_acl_xattr - failure to get ACL on Linux if memory is
 206      fragmented.
 207
 208
 209 #######################################
 210 Reporting bugs & Development Discussion
 211 #######################################
 212
 213 Please discuss this release on the samba-technical mailing list or by
 214 joining the #samba-technical IRC channel on irc.freenode.net.
 215
 216 If you do report problems then please try to send high quality
 217 feedback. If you don't provide vital information to help us track down
 218 the problem then you will probably be ignored.  All bug reports should
 219 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 220 database (https://bugzilla.samba.org/).
 221
 222
 223 ======================================================================
 224 == Our Code, Our Bugs, Our Responsibility.
 225 == The Samba Team
 226 ======================================================================
 227
 228
 229 ----------------------------------------------------------------------
 230
 231
 232                    =============================
 233                    Release Notes for Samba 4.5.8
 234                            March 31, 2017
 235                    =============================
 236
 237
 238 This is a bug fix release to address a regression introduced by the security
 239 fixes for CVE-2017-2619 (Symlink race allows access outside share definition).
 240 Please see https://bugzilla.samba.org/show_bug.cgi?id=12721 for details.
 241
 242
 243 Changes since 4.5.7:
 244 --------------------
 245
 246 o  Jeremy Allison <jra@samba.org>
 247    * BUG 12721: Fix regression with "follow symlinks = no".
 248
 249
 250 #######################################
 251 Reporting bugs & Development Discussion
 252 #######################################
 253
 254 Please discuss this release on the samba-technical mailing list or by
 255 joining the #samba-technical IRC channel on irc.freenode.net.
 256
 257 If you do report problems then please try to send high quality
 258 feedback. If you don't provide vital information to help us track down
 259 the problem then you will probably be ignored.  All bug reports should
 260 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 261 database (https://bugzilla.samba.org/).
 262
 263
 264 ======================================================================
 265 == Our Code, Our Bugs, Our Responsibility.
 266 == The Samba Team
 267 ======================================================================
 268
 269
 270 ----------------------------------------------------------------------
 271
 272
 273                    =============================
 274                    Release Notes for Samba 4.5.7
 275                            March 23, 2017
 276                    =============================
 277
 278
 279 This is a security release in order to address the following defect:
 280
 281 o  CVE-2017-2619 (Symlink race allows access outside share definition)
 282
 283 =======
 284 Details
 285 =======
 286
 287 o  CVE-2017-2619:
 288    All versions of Samba prior to 4.6.1, 4.5.7, 4.4.11 are vulnerable to
 289    a malicious client using a symlink race to allow access to areas of
 290    the server file system not exported under the share definition.
 291
 292    Samba uses the realpath() system call to ensure when a client requests
 293    access to a pathname that it is under the exported share path on the
 294    server file system.
 295
 296    Clients that have write access to the exported part of the file system
 297    via SMB1 unix extensions or NFS to create symlinks can race the server
 298    by renaming a realpath() checked path and then creating a symlink. If
 299    the client wins the race it can cause the server to access the new
 300    symlink target after the exported share path check has been done. This
 301    new symlink target can point to anywhere on the server file system.
 302
 303    This is a difficult race to win, but theoretically possible. Note that
 304    the proof of concept code supplied wins the race reliably only when
 305    the server is slowed down using the strace utility running on the
 306    server. Exploitation of this bug has not been seen in the wild.
 307
 308
 309 Changes since 4.5.6:
 310 --------------------
 311
 312 o  Jeremy Allison <jra@samba.org>
 313    * BUG 12496: CVE-2017-2619: Symlink race permits opening files outside share
 314      directory.
 315
 316 o  Ralph Boehme <slow@samba.org>
 317    * BUG 12496: CVE-2017-2619: Symlink race permits opening files outside share
 318      directory.
 319
 320
 321 #######################################
 322 Reporting bugs & Development Discussion
 323 #######################################
 324
 325 Please discuss this release on the samba-technical mailing list or by
 326 joining the #samba-technical IRC channel on irc.freenode.net.
 327
 328 If you do report problems then please try to send high quality
 329 feedback. If you don't provide vital information to help us track down
 330 the problem then you will probably be ignored.  All bug reports should
 331 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 332 database (https://bugzilla.samba.org/).
 333
 334
 335 ======================================================================
 336 == Our Code, Our Bugs, Our Responsibility.
 337 == The Samba Team
 338 ======================================================================
 339
 340
 341 ----------------------------------------------------------------------
 342
 343
 344                    =============================
 345                    Release Notes for Samba 4.5.6
 346                            March 9, 2017
 347                    =============================
 348
 349
 350 This is the latest stable release of the Samba 4.5 release series.
 351
 352
 353 Changes since 4.5.5:
 354 --------------------
 355
 356 o  Jeremy Allison <jra@samba.org>
 357    * BUG 12499: s3: vfs: dirsort doesn't handle opendir of "." correctly.
 358    * BUG 12531: vfs_shadow_copy2 doesn't cope with server changing directories.
 359    * BUG 12546: vfs_streams_xattr doesn't cope with server changing directories.
 360    * BUG 12572: s3: smbd: Don't loop infinitely on bad-symlink resolution.
 361    * BUG 12608: s3: smbd: Restart reading the incoming SMB2 fd when the send
 362      queue is drained.
 363
 364 o  Andrew Bartlett <abartlet@samba.org>
 365    * BUG 12573: Samba < 4.7 does not know about compatibleFeatures and
 366      requiredFeatures.
 367
 368 o  Ralph Boehme <slow@samba.org>
 369    * BUG 12184: s3/rpc_server: Shared rpc modules loading.
 370    * BUG 12427: vfs_fruit doesn't work with fruit:metadata=stream.
 371    * BUG 12520: Ensure global "smb encrypt = off" is effective.
 372    * BUG 12524: s3/rpc_server: move rpc_modules.c to its own subsystem.
 373    * BUG 12536: s3/smbd: check for invalid access_mask
 374      smbd_calculate_access_mask().
 375    * BUG 12541: vfs_fruit: checks wrong AAPL config state and so always uses
 376      readdirattr.
 377    * BUG 12545: s3/rpc_server/mdssvc: add attribute "kMDItemContentType".
 378    * BUG 12591: vfs_streams_xattr: use fsp, not base_fsp.
 379    * BUG 12604: vfs_fruit: Enabling AAPL extensions must be a global switch.
 380
 381 o  Amitay Isaacs <amitay@gmail.com>
 382    * BUG 12469: ctdb-tests: Use replace headers instead of system headers.
 383    * BUG 12547: ctdb-build: Install CTDB tests correctly from toplevel.
 384    * BUG 12580: ctdb-common: Fix use-after-free error in comm_fd_handler().
 385
 386 o  Volker Lendecke <vl@samba.org>
 387    * BUG 12551: smbd: Fix "map acl inherit" = yes.
 388
 389 o  Stefan Metzmacher <metze@samba.org>
 390    * BUG 9048: s4:ldap_server: Match Windows in the error messages of failing
 391      LDAP Bind requests.
 392    * BUG 11830: s3:winbindd: Try a NETLOGON connection with noauth over NCACN_NP
 393      against trusted domains.
 394    * BUG 12262: 'net ads testjoin' and smb access fails after winbindd changed the
 395      trust password.
 396    * BUG 12399: s4:repl_meta_data: Normalize rdn attribute name via the schema.
 397    * BUG 12540: s3:smbd: Allow "server min protocol = SMB3_00" to go via "SMB
 398      2.???" negprot.
 399    * BUG 12581: smbclient fails on bad endianess when listing shares from
 400      Solaris kernel SMB server on SPARC.
 401    * BUG 12585: librpc/rpc: fix regression in
 402      NT_STATUS_RPC_ENUM_VALUE_OUT_OF_RANGE error mapping.
 403    * BUG 12586: libcli/auth: Use the correct creds value against servers without
 404      LogonSamLogonEx.
 405    * BUG 12587: winbindd child segfaults on connect to an NT4 domain.
 406    * BUG 12588: cm_prepare_connection may return NT_STATUS_OK without a valid
 407      connection.
 408    * BUG 12598: winbindd (as member) requires Kerberos against trusted ad
 409      domain, while it shouldn't.
 410    * BUG 12605: s3:winbindd: Fix endless forest trust scan.
 411
 412 o  Garming Sam <garming@catalyst.net.nz>
 413    * BUG 12577: dbcheck-links: Test that dbcheck against one-way links does not
 414      error.
 415    * BUG 12600: dbchecker: Stop ignoring linked cases where both objects are
 416      alive.
 417
 418 o  Andreas Schneider <asn@samba.org>
 419    * BUG 12571: s3-vfs: Only walk the directory once in open_and_sort_dir().
 420
 421 o  Martin Schwenke <martin@meltin.net>
 422    * BUG 12589: ctdb-scripts: Initialise CTDB_NFS_CALLOUT in statd-callout.
 423
 424 o  Uri Simchoni <uri@samba.org>
 425    * BUG 12529: waf: backport finding of pkg-config.
 426
 427
 428 #######################################
 429 Reporting bugs & Development Discussion
 430 #######################################
 431
 432 Please discuss this release on the samba-technical mailing list or by
 433 joining the #samba-technical IRC channel on irc.freenode.net.
 434
 435 If you do report problems then please try to send high quality
 436 feedback. If you don't provide vital information to help us track down
 437 the problem then you will probably be ignored.  All bug reports should
 438 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 439 database (https://bugzilla.samba.org/).
 440
 441
 442 ======================================================================
 443 == Our Code, Our Bugs, Our Responsibility.
 444 == The Samba Team
 445 ======================================================================
 446
 447
 448 ----------------------------------------------------------------------
 449
 450
 451                    =============================
 452                    Release Notes for Samba 4.5.5
 453                           January 30, 2017
 454                    =============================
 455
 456
 457 This is the latest stable release of the Samba 4.5 release series.
 458
 459 Samba 4.5.4 erroneously included a rewrite of the vfs_fruit module.
 460 This patchset will be reverted with this release, because it needs to pass the
 461 review process first. If you are using the vfs_fruit module, please do not use
 462 Samba 4.5.4.
 463
 464 Changes since 4.5.4:
 465 --------------------
 466
 467 o  Amitay Isaacs <amitay@gmail.com>
 468    * BUG 12469: ctdb-locking: Explicitly unlock record/db in lock helper.
 469
 470 o  Björn Jacke <bj@sernet.de>
 471    * BUG 12535: vfs_default: Unlock the right file in copy chunk.
 472
 473 o  Martin Schwenke <martin@meltin.net>
 474    * BUG 12512: ctdb-scripts: Fix remaining uses of "ctdb gratiousarp".
 475    * BUG 12516: ctdb-scripts: /etc/iproute2/rt_tables gets populated with multiple
 476      'default' entries.
 477
 478
 479 #######################################
 480 Reporting bugs & Development Discussion
 481 #######################################
 482
 483 Please discuss this release on the samba-technical mailing list or by
 484 joining the #samba-technical IRC channel on irc.freenode.net.
 485
 486 If you do report problems then please try to send high quality
 487 feedback. If you don't provide vital information to help us track down
 488 the problem then you will probably be ignored.  All bug reports should
 489 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 490 database (https://bugzilla.samba.org/).
 491
 492
 493 ======================================================================
 494 == Our Code, Our Bugs, Our Responsibility.
 495 == The Samba Team
 496 ======================================================================
 497
 498
 499 ----------------------------------------------------------------------
 500
 501
 502                    =============================
 503                    Release Notes for Samba 4.5.4
 504                           January 18, 2017
 505                    =============================
 506
 507
 508 This is the latest stable release of the Samba 4.5 release series.
 509
 510
 511 Changes since 4.5.3:
 512 --------------------
 513
 514 o  Jeremy Allison <jra@samba.org>
 515    * BUG 12460: rename_internals_fsp missing ACL permission-check on destination
 516      folder.
 517    * BUG 12466: lib: security: se_access_check() incorrectly processes owner
 518      rights (S-1-3-4) DENY ace entries.
 519    * BUG 12467: s3: ntlm_auth: Don't corrupt the output stream with debug
 520      messages.
 521    * BUG 12479: s3: libsmb: Add cli_smb2_ftruncate(), plumb into
 522      cli_ftruncate().
 523
 524 o  Ralph Boehme <slow@samba.org>
 525    * BUG 12396: s3/smbd: Remove a misleading error message.
 526    * BUG 12412: vfs_fruit: Fix "fruit:resource" option spelling, but not
 527      behaviour.
 528    * BUG 12485: ctdbd_conn: Fix a resource leak.
 529
 530 o  David Disseldorp <ddiss@samba.org>
 531    * BUG 12144: smbd/ioctl: match WS2016 ReFS set compression behaviour.
 532
 533 o  Björn Jacke <bj@sernet.de>
 534    * BUG 2210: pam: Map more NT password errors to PAM errors.
 535
 536 o  Volker Lendecke <vl@samba.org>
 537    * BUG 12484: winbindd: Use idmap cache in xids2sids.
 538    * BUG 12509: messaging: Fix dead but not cleaned-up-yet destination sockets.
 539
 540 o  Stefan Metzmacher <metze@samba.org>
 541    * BUG 12480: kinit succeeded but ads_sasl_spnego_gensec_bind(KRB5) failed: An
 542      internal error occurred (with MIT krb5).
 543
 544 o  Andreas Schneider <asn@samba.org>
 545    * BUG 12183: printing: Fix building with CUPS version older than 1.7.
 546    * BUG 12441: s3:libads: Include system /etc/krb5.conf if we use MIT Kerberos.
 547
 548 o  Martin Schwenke <martin@meltin.net>
 549    * BUG 12470: Fix ctdb ip bugs.
 550
 551
 552 #######################################
 553 Reporting bugs & Development Discussion
 554 #######################################
 555
 556 Please discuss this release on the samba-technical mailing list or by
 557 joining the #samba-technical IRC channel on irc.freenode.net.
 558
 559 If you do report problems then please try to send high quality
 560 feedback. If you don't provide vital information to help us track down
 561 the problem then you will probably be ignored.  All bug reports should
 562 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 563 database (https://bugzilla.samba.org/).
 564
 565
 566 ======================================================================
 567 == Our Code, Our Bugs, Our Responsibility.
 568 == The Samba Team
 569 ======================================================================
 570
 571
 572 ----------------------------------------------------------------------
 573
 574
 575                    =============================
 576                    Release Notes for Samba 4.5.3
 577                           December 19, 2016
 578                    =============================
 579
 580
 581 This is a security release in order to address the following defects:
 582
 583 o  CVE-2016-2123 (Samba NDR Parsing ndr_pull_dnsp_name Heap-based Buffer
 584    Overflow Remote Code Execution Vulnerability).
 585 o  CVE-2016-2125 (Unconditional privilege delegation to Kerberos servers in
 586    trusted realms).
 587 o  CVE-2016-2126 (Flaws in Kerberos PAC validation can trigger privilege
 588    elevation).
 589
 590 =======
 591 Details
 592 =======
 593
 594 o  CVE-2016-2123:
 595    The Samba routine ndr_pull_dnsp_name contains an integer wrap problem,
 596    leading to an attacker-controlled memory overwrite. ndr_pull_dnsp_name
 597    parses data from the Samba Active Directory ldb database.  Any user
 598    who can write to the dnsRecord attribute over LDAP can trigger this
 599    memory corruption.
 600
 601    By default, all authenticated LDAP users can write to the dnsRecord
 602    attribute on new DNS objects. This makes the defect a remote privilege
 603    escalation.
 604
 605 o  CVE-2016-2125
 606    Samba client code always requests a forwardable ticket
 607    when using Kerberos authentication. This means the
 608    target server, which must be in the current or trusted
 609    domain/realm, is given a valid general purpose Kerberos
 610    "Ticket Granting Ticket" (TGT), which can be used to
 611    fully impersonate the authenticated user or service.
 612
 613 o  CVE-2016-2126
 614    A remote, authenticated, attacker can cause the winbindd process
 615    to crash using a legitimate Kerberos ticket due to incorrect
 616    handling of the arcfour-hmac-md5 PAC checksum.
 617
 618    A local service with access to the winbindd privileged pipe can
 619    cause winbindd to cache elevated access permissions.
 620
 621
 622 Changes since 4.5.2:
 623 --------------------
 624
 625 o  Volker Lendecke <vl@samba.org>
 626    * BUG 12409: CVE-2016-2123: Fix DNS vuln ZDI-CAN-3995.
 627
 628 o  Stefan Metzmacher <metze@samba.org>
 629    * BUG 12445: CVE-2016-2125: Don't send delegated credentials to all servers.
 630    * BUG 12446: CVE-2016-2126: auth/kerberos: Only allow known checksum types in
 631      check_pac_checksum().
 632
 633
 634 #######################################
 635 Reporting bugs & Development Discussion
 636 #######################################
 637
 638 Please discuss this release on the samba-technical mailing list or by
 639 joining the #samba-technical IRC channel on irc.freenode.net.
 640
 641 If you do report problems then please try to send high quality
 642 feedback. If you don't provide vital information to help us track down
 643 the problem then you will probably be ignored.  All bug reports should
 644 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 645 database (https://bugzilla.samba.org/).
 646
 647
 648 ======================================================================
 649 == Our Code, Our Bugs, Our Responsibility.
 650 == The Samba Team
 651 ======================================================================
 652
 653
 654 ----------------------------------------------------------------------
 655
 656
 657                    =============================
 658                    Release Notes for Samba 4.5.2
 659                           December 07, 2016
 660                    =============================
 661
 662
 663 This is the latest stable release of the Samba 4.5 release series.
 664
 665
 666 Changes since 4.5.1:
 667 --------------------
 668
 669 o  Michael Adam <obnox@samba.org>
 670    * BUG 12404: vfs:glusterfs: Preallocate result for glfs_realpath.
 671
 672 o  Jeremy Allison <jra@samba.org>
 673    * BUG 12384: s3: vfs: Remove files/directories after the streams are deleted.
 674    * BUG 12387: s3: vfs_streams_depot: Use conn->connectpath not conn->cwd.
 675    * BUG 12436: s3/smbd: Fix the last resort check that sets the file type
 676      attribute.
 677
 678 o  Andrew Bartlett <abartlet@samba.org>
 679    * BUG 9954: dsdb: Create RID Set as SYSTEM.
 680    * BUG 12297: dbcheck: Correct message for orphaned backlinks.
 681    * BUG 12395: build: Fix build with perl on debian sid.
 682    * BUG 12398: Fix errors in extended operations (like allocating a RID Set).
 683
 684 o  Günther Deschner <gd@samba.org>
 685    * BUG 11197: spoolss: Use correct values for secdesc and devmode pointers.
 686
 687 o  Clive Ferreira <cliveferreira@catalyst.net.nz>
 688    * BUG 12394: objectclass_attrs: Only abort on a missing attribute when an
 689      attribute is both MUST and replicated.
 690
 691 o  Amitay Isaacs <amitay@gmail.com>
 692    * BUG 12366: provision,dlz-bind: Add support for BIND 9.11.x.
 693    * BUG 12392: ctdb-locking: Reset real-time priority in lock helper.
 694    * BUG 12407: ctdb-scripts: Fix calculation of CTDB_BASE.
 695    * BUG 12434: ctdb-recovery: Avoid NULL dereference in failure case.
 696
 697 o  Stefan Metzmacher <metze@samba.org>
 698    * BUG 10297: s3:smbd: Only pass UCF_PREP_CREATEFILE to filename_convert() if
 699      we may create a new file.
 700
 701 o  Mathieu Parent <math.parent@gmail.com>
 702    * BUG 12371: ctdb-scripts: Fix Debian init in samba eventscript.
 703
 704 o  Garming Sam <garming@catalyst.net.nz>
 705    * BUG 9954: samba_tool/fsmo: Allocate RID Set when seizing RID manager.
 706    * BUG 10882: s4-auth: Don't check for NULL saltPrincipal if it doesn't need
 707      it.
 708    * BUG 12297: upgradeprovision: Remove objectCategory from constructed attrs.
 709    * BUG 12385: collect_tombstones: Allow links to recycled objects to be
 710      deleted.
 711
 712 o  Andreas Schneider <asn@samba.org>
 713    * BUG 12183: s3-printing: Correctly encode CUPS printer URIs.
 714    * BUG 12195: s3-printing: Allow printer names longer than 16 chars.
 715    * BUG 12269: nss_wins: Fix errno values for HOST_NOT_FOUND.
 716    * BUG 12405: s3-winbind: Do not return NO_MEMORY if we have an empty user
 717      list.
 718    * BUG 12415: s3:spoolss: Add support for COPY_FROM_DIRECTORY in
 719      AddPrinterDriverEx.
 720
 721 o  Martin Schwenke <martin@meltin.net>
 722    * BUG 12104: ctdb-packaging: Move CTDB tests to /usr/local/share/ctdb/tests/.
 723
 724 o  Uri Simchoni <uri@samba.org>
 725    * BUG 12375: smbd: In ntlm auth, do not map empty domain in case of
 726      \user@realm.
 727
 728 o  Ralph Wuerthner <ralph.wuerthner@de.ibm.com>
 729    * BUG 12372: ctdb-conn: Add missing variable initialization.
 730
 731
 732 #######################################
 733 Reporting bugs & Development Discussion
 734 #######################################
 735
 736 Please discuss this release on the samba-technical mailing list or by
 737 joining the #samba-technical IRC channel on irc.freenode.net.
 738
 739 If you do report problems then please try to send high quality
 740 feedback. If you don't provide vital information to help us track down
 741 the problem then you will probably be ignored.  All bug reports should
 742 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 743 database (https://bugzilla.samba.org/).
 744
 745
 746 ======================================================================
 747 == Our Code, Our Bugs, Our Responsibility.
 748 == The Samba Team
 749 ======================================================================
 750
 751
 752 ----------------------------------------------------------------------
 753
 754
 755                    =============================
 756                    Release Notes for Samba 4.5.1
 757                           October 26, 2016
 758                    =============================
 759
 760
 761 This is the latest stable release of the Samba 4.5 release series.
 762
 763 Major enhancements in Samba 4.5.1 include:
 764
 765 o  Let winbindd discard expired kerberos tickets when built against
 766    (internal) heimdal (BUG #12369).
 767 o  REGRESSION: smbd segfaults on startup, tevent context being freed
 768    (BUG #12283).
 769
 770
 771 Changes since 4.5.0:
 772 --------------------
 773
 774 o  Jeremy Allison <jra@samba.org>
 775    * BUG 11259: smbd contacts a domain controller for each session.
 776    * BUG 12272: Fix messaging subsystem crash.
 777    * BUG 12283: REGRESSION: smbd segfaults on startup, tevent context being
 778      freed.
 779    * BUG 12381: s3: cldap: cldap_multi_netlogon_send() fails with one bad IPv6
 780      address.
 781    * BUG 12383: s3: libsmb: Fix cut and paste error using the wrong structure
 782      type.
 783
 784 o  Christian Ambach <ambi@samba.org>
 785    * BUG 9945: Setting specific logger levels in smb.conf makes 'samba-tool drs
 786      showrepl' crash.
 787
 788 o  Andrew Bartlett <abartlet@samba.org>
 789    * BUG 12382: Tombstone expunge does not remove old links.
 790
 791 o  Björn Baumbach <bb@sernet.de>
 792    * BUG 8618: s3-printing: Fix migrate printer code.
 793
 794 o  Ralph Boehme <slow@samba.org>
 795    * BUG 12256: s3/smbd: In call_trans2qfilepathinfo call lstat when dealing
 796      with posix pathnames.
 797    * BUG 12261: s3/smbd: Set FILE_ATTRIBUTE_DIRECTORY as necessary.
 798
 799 o  Günther Deschner <gd@samba.org>
 800    * BUG 12285: "DriverVersion" registry backend parsing incorrect in spoolss.
 801
 802 o  David Disseldorp <ddiss@samba.org>
 803    * BUG 12144: smbd/ioctl: Match WS2016 ReFS get compression behaviour.
 804
 805 o  Amitay Isaacs <amitay@gmail.com>
 806    * BUG 12259: ctdb-protocol: Fix marshalling for GET_DB_SEQNUM control
 807      request.
 808    * BUG 12275: ctdb-recovery-helper: Add missing initialisation of ban_credits.
 809    * BUG 12287: CTDB PID file handling is too weak.
 810
 811 o  Volker Lendecke <vl@samba.org>
 812    * BUG 12045: gencache: Bail out of stabilize if we can not get the allrecord
 813      lock.
 814    * BUG 12268: smbd: Reset O_NONBLOCK on open files.
 815    * BUG 12283: glusterfs: Avoid tevent_internal.h.
 816    * BUG 12291: source3/lib/msghdr.c, line 208: syntax error before or at: ;.
 817    * BUG 12374: spoolss: Fix caching of printername->sharename.
 818
 819 o  Stefan Metzmacher <metze@samba.org>
 820    * BUG 12283: REGRESSION: smbd segfaults on startup, tevent context being
 821      freed.
 822    * BUG 12369: Let winbindd discard expired kerberos tickets when built against
 823      (internal) heimdal.
 824
 825 o  Noel Power <noel.power@suse.com>
 826    * BUG 12298: s3/winbindd: Fix using default domain with user@domain.com
 827      format.
 828
 829 o  Christof Schmitt <cs@samba.org>
 830    * BUG 12295: winbind: Fix passing idmap failure from wb_sids2xids back to
 831      callers.
 832
 833 o  Andreas Schneider <asn@samba.org>
 834    * BUG 12269: nss_wins has incorrect function definitions for gethostbyname*.
 835    * BUG 12276: s3-lib: Fix %G substitution in AD member environment.
 836    * BUG 12364: s3-utils: Fix loading smb.conf in smbcquotas.
 837
 838 o  Garming Sam <garming@catalyst.net.nz>
 839    * BUG 12286: kcc: Don't check schedule if None.
 840    * BUG 12382: Tombstone expunge does not remove old links.
 841
 842 o  Anoop C S <anoopcs@redhat.com>
 843    * BUG 12377: vfs_glusterfs: Fix a memory leak in connect path.
 844
 845 o  Martin Schwenke <martin@meltin.net>
 846    * BUG 12254: CTDB IP takeover does not complete if there are no public
 847      addresses configured.
 848    * BUG 12255: ctdb-packaging: Fix systemd network dependency.
 849    * BUG 12287: CTDB PID file handling is too weak.
 850
 851 o  Uri Simchoni <uri@samba.org>
 852    * BUG 12270: smbcquotas: Fix error message listing quotas.
 853    * BUG 12273: s3-sysquotas: Correctly restore path when finding mount point.
 854    * BUG 12288: cliquota: Fix param count when setting fs quota.
 855    * BUG 12289: smbd: Free talloc context if no quota records are available.
 856    * BUG 12307: ntquotas: Support "freeing" an empty quota list.
 857
 858
 859 #######################################
 860 Reporting bugs & Development Discussion
 861 #######################################
 862
 863 Please discuss this release on the samba-technical mailing list or by
 864 joining the #samba-technical IRC channel on irc.freenode.net.
 865
 866 If you do report problems then please try to send high quality
 867 feedback. If you don't provide vital information to help us track down
 868 the problem then you will probably be ignored.  All bug reports should
 869 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 870 database (https://bugzilla.samba.org/).
 871
 872
 873 ======================================================================
 874 == Our Code, Our Bugs, Our Responsibility.
 875 == The Samba Team
 876 ======================================================================
 877
 878
 879 ----------------------------------------------------------------------
 880
 881
 882                    =============================
 883                    Release Notes for Samba 4.5.0
 884                            September 7, 2016
 885                    =============================
 886
 887
 888 This is the first stable release of the Samba 4.5 release series.
 889
 890
 891 UPGRADING
 892 =========
 893
 894 NTLMv1 authentication disabled by default
 895 -----------------------------------------
 896
 897 In order to improve security we have changed
 898 the default value for the "ntlm auth" option from
 899 "yes" to "no". This may have impact on very old
 900 clients which doesn't support NTLMv2 yet.
 901
 902 The primary user of NTLMv1 is MSCHAPv2 for VPNs and 802.1x.
 903
 904 By default, Samba will only allow NTLMv2 via NTLMSSP now,
 905 as we have the following default "lanman auth = no",
 906 "ntlm auth = no" and "raw NTLMv2 auth = no".
 907
 908
 909 NEW FEATURES/CHANGES
 910 ====================
 911
 912 Support for LDAP_SERVER_NOTIFICATION_OID
 913 ----------------------------------------
 914
 915 The ldap server has support for the LDAP_SERVER_NOTIFICATION_OID
 916 control. This can be used to monitor the Active Directory database
 917 for changes.
 918
 919 KCC improvements for sparse network replication
 920 -----------------------------------------------
 921
 922 The Samba KCC will now be the default knowledge consistency checker in
 923 Samba AD. Instead of using full mesh replication between every DC, the
 924 KCC will set up connections to optimize replication latency and cost
 925 (using site links to calculate the routes). This change should allow
 926 larger domains to function significantly better in terms of replication
 927 traffic and the time spent performing DRS replication.
 928
 929 VLV - Virtual List View
 930 -----------------------
 931
 932 The VLV Control allows applications to page the LDAP directory in the
 933 way you might expect a live phone book application to operate, without
 934 first downloading the entire directory.
 935
 936 DRS Replication for the AD DC
 937 -----------------------------
 938
 939 DRS Replication in Samba 4.5 is now much more efficient in handling
 940 linked attributes, particularly in large domains with over 1000 group
 941 memberships or other links.
 942
 943 Replication is also much more reliable in the handling of tree
 944 renames, such as the rename of an organizational unit containing many
 945 users.  Extensive tests have been added to ensure this code remains
 946 reliable, particularly in the case of conflicts between objects added
 947 with the same name on different servers.
 948
 949 Schema updates are also handled much more reliably.
 950
 951 samba-tool drs replicate with new options
 952 -----------------------------------------
 953
 954 'samba-tool drs replicate' got two new options:
 955
 956 The option '--local-online' will do the DsReplicaSync() via IRPC
 957 to the local dreplsrv service.
 958
 959 The option '--async-op' will add DRSUAPI_DRS_ASYNC_OP to the
 960 DsReplicaSync(), which won't wait for the replication result.
 961
 962 replPropertyMetaData Changes
 963 ----------------------------
 964
 965 During the development of the DRS replication, tests showed that Samba
 966 stores the replPropertyMetaData object incorrectly. To address this,
 967 be aware that 'dbcheck' will now detect and offer to fix all objects in
 968 the domain for this error.
 969
 970 For further information and instructions how to fix the problem, see
 971 https://wiki.samba.org/index.php/Updating_Samba#Fixing_replPropertyMetaData_Attributes
 972
 973 Linked attributes on deleted objects
 974 ------------------------------------
 975
 976 In Active Directory, an object that has been tombstoned or recycled
 977 has no linked attributes.  However, Samba incorrectly maintained such
 978 links, slowing replication and run-time performance.  'dbcheck' now
 979 offers to remove such links, and they are no longer kept after the
 980 object is tombstoned or recycled.
 981
 982 Improved AD DC performance
 983 --------------------------
 984
 985 Many other improvements have been made to our LDAP database layer in
 986 the AD DC, to improve performance, both during 'samba-tool domain
 987 provision' and at runtime.
 988
 989 Other dbcheck improvements
 990 --------------------------
 991
 992  - 'samba-tool dbcheck' can now find and fix a missing or corrupted
 993    'deleted objects' container.
 994  - BUG 11433: samba-dbcheck no longer offers to resort auxiliary class values
 995    in objectClass as these were then re-sorted at the next dbcheck indefinitely.
 996
 997 Tombstone Reanimation
 998 ---------------------
 999
1000 Samba now supports tombstone reanimation, a feature in the AD DC
1001 allowing tombstones, that is objects which have been deleted, to be
1002 restored with the original SID and GUID still in place.
1003
1004 Multiple DNS Forwarders on the AD DC
1005 ------------------------------------
1006
1007 Previously, the Samba internal DNS server supported only one DNS forwarder.
1008 The "dns forwarder" option has been enhanced and now supports a space-separated
1009 list of multiple DNS server IP addresses. As a result, Samba is now able to
1010 fall back to alternative DNS servers. In case that a DNS query to the first
1011 server timed out, it is sent to the next DNS server listed in the option.
1012
1013 Password quality plugin support in the AD DC
1014 --------------------------------------------
1015
1016 The check password script now operates correctly in the AD DC.
1017
1018 pwdLastSet is now correctly honoured
1019 ------------------------------------
1020
1021 BUG 9654: The pwdLastSet attribute is now correctly handled (this previously
1022 permitted passwords that expire next).
1023
1024 net ads dns unregister
1025 ----------------------
1026
1027 It is now possible to remove the DNS entries created with 'net ads register'
1028 with the matching 'net ads unregister' command.
1029
1030 samba-tool improvements
1031 ------------------------
1032
1033 Running 'samba-tool' on the command line should now be a lot snappier. The tool
1034 now only loads the code specific to the subcommand that you wish to run.
1035
1036 SMB 2.1 Leases enabled by default
1037 ---------------------------------
1038
1039 Leasing is an SMB 2.1 (and higher) feature which allows clients to
1040 aggressively cache files locally above and beyond the caching allowed
1041 by SMB 1 oplocks. This feature was disabled in previous releases, but
1042 the SMB2 leasing code is now considered mature and stable enough to be
1043 enabled by default.
1044
1045 Open File Description (OFD) Locks
1046 ---------------------------------
1047
1048 On systems that support them (currently only Linux), the fileserver now
1049 uses Open File Description (OFD) locks instead of POSIX locks to implement
1050 client byte range locks. As these locks are associated with a specific
1051 file descriptor on a file this allows more efficient use when multiple
1052 descriptors having file locks are opened onto the same file. An internal
1053 tunable "smbd:force process locks = true" may be used to turn off OFD
1054 locks if there appear to be problems with them.
1055
1056 Password sync as Active Directory domain controller
1057 ---------------------------------------------------
1058
1059 The new commands 'samba-tool user getpassword'
1060 and 'samba-tool user syncpasswords' provide
1061 access and syncing of various password fields.
1062
1063 If compiled with GPGME support (--with-gpgme) it's
1064 possible to store cleartext passwords in a PGP/OpenGPG
1065 encrypted form by configuring the new "password hash gpg key ids"
1066 option. This requires gpgme devel and python packages to be installed
1067 (e.g. libgpgme11-dev and python-gpgme on Debian/Ubuntu).
1068
1069 Python crypto requirements
1070 --------------------------
1071
1072 Some 'samba-tool' subcommands require python-crypto and/or
1073 python-m2crypto packages to be installed.
1074
1075 SmartCard/PKINIT improvements
1076 -----------------------------
1077
1078 'samba-tool user create' accepts "--smartcard-required"
1079 and 'samba-tool user setpassword' accepts "--smartcard-required"
1080 and "--clear-smartcard-required".
1081
1082 Specifying "--smartcard-required" results in the UF_SMARTCARD_REQUIRED
1083 flags being set in the userAccountControl attribute.
1084 At the same time, the account password is reset to a random
1085 NTHASH value.
1086
1087 Interactive password logons are rejected, if the UF_SMARTCARD_REQUIRED
1088 bit is set in the userAccountControl attribute of a user.
1089
1090 When doing a PKINIT based Kerberos logon the KDC adds the
1091 required PAC_CREDENTIAL_INFO element to the authorization data.
1092 That means the NTHASH is shared between the PKINIT based client and
1093 the domain controller, which allows the client to do NTLM based
1094 authentication on behalf of the user. It also allows an offline
1095 logon using a smartcard to work on Windows clients.
1096
1097 CTDB changes
1098 ------------
1099
1100 * New improved 'ctdb tool'
1101
1102   'ctdb tool' has been completely rewritten using new client API.
1103   Usage messages are much improved.
1104
1105 * Sample CTDB configuration file is installed as ctdbd.conf.
1106
1107 * The use of real-time scheduling when taking locks has been narrowed
1108   to limit potential performance impacts on nodes.
1109
1110 * CTDB_RECOVERY_LOCK now supports specification of an external helper
1111   to take and hold the recovery lock.
1112
1113   See the RECOVERY LOCK section in ctdb(7) for details.  Documentation
1114   for writing helpers is provided in doc/cluster_mutex_helper.txt.
1115
1116 * "ctdb natgwlist" has been replaced by a top level "ctdb natgw"
1117   command that has "master", "list" and "status" subcommands.
1118
1119 * The 'onnode' command no longer supports the "recmaster", "lvs" and
1120   "natgw" node specifications.
1121
1122 * Faster resetting of TCP connections to public IP addresses during
1123   failover.
1124
1125 * Tunables MaxRedirectCount, ReclockPingPeriod,
1126   DeferredRebalanceOnNodeAdd are now obsolete/ignored.
1127
1128 * "ctdb listvars" now lists all variables, including the first one.
1129
1130 * "ctdb xpnn", "ctdb rebalanceip" and "ctdb rebalancenode" have been
1131   removed.
1132
1133   These are not needed because "ctdb reloadips" should do the correct
1134   rebalancing.
1135
1136 * Output for the following commands has been simplified:
1137
1138     ctdb getdbseqnum
1139     ctdb getdebug
1140     ctdb getmonmode
1141     ctdb getpid
1142     ctdb getreclock
1143     ctdb getpid
1144     ctdb pnn
1145
1146   These now simply print the requested output with no preamble.  This
1147   means that scripts no longer need to strip part of the output.
1148
1149   "ctdb getreclock" now prints nothing when the recovery lock is not
1150   set.
1151
1152 * Output for the following commands has been improved:
1153
1154   ctdb setdebug
1155   ctdb uptime
1156
1157 * 'ctdb process-exists' has been updated to only take a PID argument.
1158
1159   The PNN can be specified with -n <PNN>.  Output also cleaned up.
1160
1161 * LVS support has been reworked - related commands and configuration
1162   variables have changed.
1163
1164   'ctdb lvsmaster' and 'ctdb lvs' have been replaced by a top level
1165   'ctdb lvs' command that has 'master', 'list' and 'status'
1166   subcommands.
1167
1168   See the LVS sections in ctdb(7) and ctdbd.conf(5) for details,
1169   including configuration changes.
1170
1171 * Improved sample NFS Ganesha call-out.
1172
1173 New shadow_copy2 options
1174 ------------------------
1175
1176 * shadow:snapprefix
1177
1178   With growing number of snapshots file-systems need some mechanism to
1179   differentiate one set of snapshots from other, e.g. monthly, weekly, manual,
1180   special events, etc. Therefore, these file-systems provide different ways to tag
1181   snapshots, e.g. provide a configurable way to name snapshots, which is not just
1182   based on time.  With only shadow:format it is very difficult to filter these
1183   snapshots. With this optional parameter, one can specify a variable prefix
1184   component for names of the snapshot directories in the file-system. If this
1185   parameter is set, together with the shadow:format and shadow:delimiter
1186   parameters it determines the possible names of snapshot directories in the
1187   file-system. The option only supports Basic Regular Expression (BRE).
1188
1189 * shadow:delimiter
1190
1191   This optional parameter is used as a delimiter between "shadow:snapprefix" and
1192   "shadow:format". This parameter is used only when "shadow:snapprefix" is set.
1193
1194   Default: shadow:delimiter = "_GMT"
1195
1196
1197 REMOVED FEATURES
1198 ================
1199
1200 "only user" and "username" parameters
1201 -------------------------------------
1202
1203 These two parameters have long been deprecated and superseded by
1204 "valid users" and "invalid users".
1205
1206
1207 smb.conf changes
1208 ================
1209
1210   Parameter Name                Description             Default
1211   --------------                -----------             -------
1212   kccsrv:samba_kcc              Changed default         yes
1213   ntlm auth                     Changed default         no
1214   only user                     Removed
1215   password hash gpg key ids     New
1216   shadow:snapprefix             New
1217   shadow:delimiter              New                     _GMT
1218   smb2 leases                   Changed default         yes
1219   username                      Removed
1220
1221
1222 KNOWN ISSUES
1223 ============
1224
1225 While a lot of schema replication bugs were fixed in this release
1226 Bug 12204 - Samba fails to replicate schema 69
1227 (https://bugzilla.samba.org/show_bug.cgi?id=12204) is still open.
1228 The replication fails if more than 133 schema objects are added
1229 at the same time.
1230
1231 More open bugs are listed at:
1232 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.5#All_bugs
1233
1234
1235 CHANGES SINCE 4.5.0rc3
1236 ======================
1237
1238 o   Björn Baumbach <bb@sernet.de>
1239     * BUG 12194: idmap_script: fix missing "IDTOSID" argument in scripts
1240       command line.
1241
1242 o   Andrew Bartlett <abartlet@samba.org>
1243     * BUG 12178: samba-tool dbcheck fails to fix replPropertyMetaData.
1244
1245 o   Ralph Boehme <slow@samba.org>
1246     * BUG 12177: Unexpected synthesized default ACL from vfs_acl_xattr.
1247     * BUG 12181: vfs_acl_common not setting filesystem permissions anymore.
1248     * BUG 12184: Loading shared RPC modules failed.
1249
1250 o   Günther Deschner <gd@samba.org>
1251     * BUG 12245: fix _spoolss_GetPrinterDataEx by moving the keyname
1252       length check.
1253
1254 o   Stefan Metzmacher <metze@samba.org>
1255     * BUG 11994: smbclient fails to connect to Azure or Apple share spnego
1256       fails with no mechListMIC.
1257
1258 o   Martin Schwenke <martin@meltin.net>
1259     * BUG 12180: CTDB crashes running eventscripts.
1260
1261
1262 CHANGES SINCE 4.5.0rc2
1263 ======================
1264
1265 o   Michael Adam <obnox@samba.org>
1266     * BUG 12155: Some idmap backends don't perform range checks for the result
1267       of sids_to_xids.
1268
1269 o   Jeremy Allison <jra@samba.org>
1270     * BUG 12115: Endless loop on drsuapi pull replication after schema changes.
1271     * BUG 12135: net ads gpo refresh can crash with null pointer deref..
1272     * BUG 12139: Race between break oplock and check for share_mode.
1273     * BUG 12150: SMB2 snapshot query fails on DFS shares..
1274     * BUG 12165: smbclient allinfo doesn't correctly return 'previous version'
1275       info over SMB1.
1276     * BUG 12166: smbclient allinfo doesn't correctly return 'previous version'
1277       info over SMB2.
1278     * BUG 12174: error: 'conn' undeclared.
1279
1280 o   Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
1281     * BUG 12143: misnamed attribute in samba_kcc causes exception in unusual
1282       circumstances.
1283     * BUG 12187: Backport changes for partial attribute set calculation
1284       for 4.5.
1285
1286 o   Andrew Bartlett <abartlet@samba.org>
1287     * BUG 12107: backport backupkey tests.
1288     * BUG 12115: Endless loop on drsuapi pull replication after schema changes.
1289     * BUG 12128: Correctly resolve replicated schema changes regarding linked
1290       attributes.
1291
1292 o   Amitay Isaacs <amitay@gmail.com>
1293     * BUG 12137: Fix printf format non-liternal warnings and printf
1294       format errors.
1295     * BUG 12138: Fix uninitialized timeout in ctdb_pmda.
1296     * BUG 12151: Drop resurrected ctdb commands in new ctdb tool.
1297     * BUG 12152: Fix ctdb addip; implementation to match ctdb delip.
1298     * BUG 12163: Fix missing arguments and format elements in format strings.
1299     * BUG 12168: Fix format-nonliteral warnings.
1300
1301 o   Stefan Metzmacher <metze@samba.org>
1302     * BUG 12108: Backport selftest/autobuild fixes to v4-5-test.
1303     * BUG 12114: In memory schema updated on non schema master.
1304     * BUG 12115: Endless loop on drsuapi pull replication after schema changes.
1305     * BUG 12128: Correctly resolve replicated schema changes regarding
1306       linked attributes.
1307     * BUG 12129: let samba-tool ldapcmp ignore whenChanged.
1308
1309 o   Garming Sam <garming@catalyst.net.nz>
1310     * BUG 12187: Backport changes for partial attribute set calculation
1311       for 4.5.
1312
1313 o   Andreas Schneider <asn@samba.org>
1314     * BUG 12175: smbget always prompts for a username.
1315
1316 o   Christof Schmitt <cs@samba.org>
1317     * BUG 12150: SMB2 snapshot query fails on DFS shares..
1318
1319 o   Martin Schwenke <martin@meltin.net>
1320     * BUG 12157: Coverity and related fixes.
1321     * BUG 12158: CTDB release IP fixes.
1322     * BUG 12161: Fix CTDB cumulative takeover timeout.
1323     * BUG 12170: CTDB test runs can kill each other's ctdbd daemons.
1324
1325 o   Uri Simchoni <uri@samba.org>
1326     * BUG 12145: smbd: if inherit owner is enabled, the free disk on a folder
1327       should take the owner's quota into account.
1328     * BUG 12149: smbd: cannot load a Windows device driver from a Samba share
1329       via SMB2.
1330     * BUG 12172: a snapshot folder cannot be accessed via SMB1.
1331
1332
1333 CHANGES SINCE 4.5.0rc1
1334 ======================
1335
1336 o   Ralph Boehme <slow@samba.org>
1337     * BUG 12005: parse_share_modes() chokes on ctdb tombstone record from ltdb.
1338     * BUG 12105: smbclient connection to not reachable IP eats 100% CPU.
1339
1340 o   Ira Cooper <ira@samba.org>
1341     * BUG 12133: source3/wscript: Add support for disabling vfs_cephfs.
1342
1343 o   Amitay Isaacs <amitay@gmail.com>
1344     * BUG 12121: ctdb-tools: Fix numerous Coverity IDs and other issues.
1345     * BUG 12122: If a transaction fails, it should be canceled and transaction
1346       handle should be freed.
1347     * BUG 12134: dbwrap: Fix structure initialization.
1348
1349 o   Marc Muehlfeld <mmuehlfeld@samba.org>
1350     * BUG 12023: man: Fix wrong option for parameter "ldap ssl" in smb.conf
1351       man page.
1352
1353 o   Andreas Schneider <asn@samba.org>
1354     * BUG 12104: ctdb-waf: Move ctdb tests to libexec directory.
1355
1356 o   Martin Schwenke <martin@meltin.net>
1357     * BUG 12104: ctdb-packaging: Move ctdb tests to libexec directory.
1358     * BUG 12109: Fixes several CTDB tests.
1359     * BUG 12110: Fix numerous Coverity IDs.
1360     * BUG 12113: ctdb-mutex: Avoid corner case where helper is already
1361       reparented to init.
1362     * BUG 12123: Fix ctdb tickle command and update documentation.
1363     * BUG 12125: CTDB overwrites working configuration due to packaging
1364       change.
1365     * BUG 12126: Fix broken CTDB log messages.
1366
1367
1368 #######################################
1369 Reporting bugs & Development Discussion
1370 #######################################
1371
1372 Please discuss this release on the samba-technical mailing list or by
1373 joining the #samba-technical IRC channel on irc.freenode.net.
1374
1375 If you do report problems then please try to send high quality
1376 feedback. If you don't provide vital information to help us track down
1377 the problem then you will probably be ignored.  All bug reports should
1378 be filed under the Samba 4.1 and newer product in the project's Bugzilla
1379 database (https://bugzilla.samba.org/).
1380
1381
1382 ======================================================================
1383 == Our Code, Our Bugs, Our Responsibility.
1384 == The Samba Team
1385 ======================================================================
1386