WHATSNEW.txt

   1                    ==============================
   2                    Release Notes for Samba 4.17.6
   3                            March 09, 2023
   4                    ==============================
   5
   6
   7 This is the latest stable release of the Samba 4.17 release series.
   8
   9
  10 Changes since 4.17.5
  11 --------------------
  12
  13 o  Jeremy Allison <jra@samba.org>
  14    * BUG 15314: streams_xattr is creating unexpected locks on folders.
  15
  16 o  Andrew Bartlett <abartlet@samba.org>
  17    * BUG 10635: Use of the Azure AD Connect cloud sync tool is now supported for
  18      password hash synchronisation, allowing Samba AD Domains to synchronise
  19      passwords with this popular cloud environment.
  20
  21 o  Ralph Boehme <slow@samba.org>
  22    * BUG 15299: Spotlight doesn't work with latest macOS Ventura.
  23
  24 o  Volker Lendecke <vl@samba.org>
  25    * BUG 15310: New samba-dcerpc architecture does not scale gracefully.
  26
  27 o  John Mulligan <jmulligan@redhat.com>
  28    * BUG 15307: vfs_ceph incorrectly uses fsp_get_io_fd() instead of
  29      fsp_get_pathref_fd() in close and fstat.
  30
  31 o  Noel Power <noel.power@suse.com>
  32    * BUG 15293: With clustering enabled samba-bgqd can core dump due to use
  33      after free.
  34
  35 o  baixiangcpp <baixiangcpp@gmail.com>
  36    * BUG 15311: fd_load() function implicitly closes the fd where it should not.
  37
  38
  39 #######################################
  40 Reporting bugs & Development Discussion
  41 #######################################
  42
  43 Please discuss this release on the samba-technical mailing list or by
  44 joining the #samba-technical:matrix.org matrix room, or
  45 #samba-technical IRC channel on irc.libera.chat.
  46
  47
  48 If you do report problems then please try to send high quality
  49 feedback. If you don't provide vital information to help us track down
  50 the problem then you will probably be ignored.  All bug reports should
  51 be filed under the Samba 4.1 and newer product in the project's Bugzilla
  52 database (https://bugzilla.samba.org/).
  53
  54
  55 ======================================================================
  56 == Our Code, Our Bugs, Our Responsibility.
  57 == The Samba Team
  58 ======================================================================
  59
  60
  61 Release notes for older releases follow:
  62 ----------------------------------------
  63                    ==============================
  64                    Release Notes for Samba 4.17.5
  65                           January 26, 2023
  66                    ==============================
  67
  68
  69 This is the latest stable release of the Samba 4.17 release series.
  70
  71
  72 Changes since 4.17.4
  73 --------------------
  74
  75 o  Jeremy Allison <jra@samba.org>
  76    * BUG 14808: smbc_getxattr() return value is incorrect.
  77    * BUG 15172: Compound SMB2 FLUSH+CLOSE requests from MacOSX are not handled
  78      correctly.
  79    * BUG 15210: synthetic_pathref AFP_AfpInfo failed errors.
  80    * BUG 15226: samba-tool gpo listall fails IPv6 only - finddcs() fails to find
  81      DC when there is only an AAAA record for the DC in DNS.
  82    * BUG 15236: smbd crashes if an FSCTL request is done on a stream handle.
  83    * BUG 15277: DFS links don't work anymore on Mac clients since 4.17.
  84    * BUG 15283: vfs_virusfilter segfault on access, directory edgecase
  85      (accessing NULL value).
  86
  87 o  Samuel Cabrero <scabrero@samba.org>
  88    * BUG 15240: CVE-2022-38023 [SECURITY] Samba should refuse RC4 (aka md5)
  89      based SChannel on NETLOGON (additional changes).
  90
  91 o  Volker Lendecke <vl@samba.org>
  92    * BUG 15243: %U for include directive doesn't work for share listing
  93      (netshareenum).
  94    * BUG 15266: Shares missing from netshareenum response in samba 4.17.4.
  95    * BUG 15269: ctdb: use-after-free in run_proc.
  96
  97 o  Stefan Metzmacher <metze@samba.org>
  98    * BUG 15243: %U for include directive doesn't work for share listing
  99      (netshareenum).
 100    * BUG 15266: Shares missing from netshareenum response in samba 4.17.4.
 101    * BUG 15280: irpc_destructor may crash during shutdown.
 102    * BUG 15286: auth3_generate_session_info_pac leaks wbcAuthUserInfo.
 103
 104 o  Andreas Schneider <asn@samba.org>
 105    * BUG 15268: smbclient segfaults with use after free on an optimized build.
 106
 107 o  Jones Syue <jonessyue@qnap.com>
 108    * BUG 15282: smbstatus leaking files in msg.sock and msg.lock.
 109
 110 o  Andrew Walker <awalker@ixsystems.com>
 111    * BUG 15164: Leak in wbcCtxPingDc2.
 112    * BUG 15265: Access based share enum does not work in Samba 4.16+.
 113    * BUG 15267: Crash during share enumeration.
 114    * BUG 15271: rep_listxattr on FreeBSD does not properly check for reads off
 115      end of returned buffer.
 116
 117 o  Florian Weimer <fweimer@redhat.com>
 118    * BUG 15281: Avoid relying on C89 features in a few places.
 119
 120
 121 #######################################
 122 Reporting bugs & Development Discussion
 123 #######################################
 124
 125 Please discuss this release on the samba-technical mailing list or by
 126 joining the #samba-technical:matrix.org matrix room, or
 127 #samba-technical IRC channel on irc.libera.chat.
 128
 129
 130 If you do report problems then please try to send high quality
 131 feedback. If you don't provide vital information to help us track down
 132 the problem then you will probably be ignored.  All bug reports should
 133 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 134 database (https://bugzilla.samba.org/).
 135
 136
 137 ======================================================================
 138 == Our Code, Our Bugs, Our Responsibility.
 139 == The Samba Team
 140 ======================================================================
 141
 142
 143 ----------------------------------------------------------------------
 144                    ==============================
 145                    Release Notes for Samba 4.17.4
 146                          December 15, 2022
 147                    ==============================
 148
 149
 150 This is the latest stable release of the Samba 4.17 release series.
 151 It also contains security changes in order to address the following defects:
 152
 153
 154 o CVE-2022-37966: This is the Samba CVE for the Windows Kerberos
 155                   RC4-HMAC Elevation of Privilege Vulnerability
 156                   disclosed by Microsoft on Nov 8 2022.
 157
 158                   A Samba Active Directory DC will issue weak rc4-hmac
 159                   session keys for use between modern clients and servers
 160                   despite all modern Kerberos implementations supporting
 161                   the aes256-cts-hmac-sha1-96 cipher.
 162
 163                   On Samba Active Directory DCs and members
 164                   'kerberos encryption types = legacy' would force
 165                   rc4-hmac as a client even if the server supports
 166                   aes128-cts-hmac-sha1-96 and/or aes256-cts-hmac-sha1-96.
 167
 168                   https://www.samba.org/samba/security/CVE-2022-37966.html
 169
 170 o CVE-2022-37967: This is the Samba CVE for the Windows
 171                   Kerberos Elevation of Privilege Vulnerability
 172                   disclosed by Microsoft on Nov 8 2022.
 173
 174                   A service account with the special constrained
 175                   delegation permission could forge a more powerful
 176                   ticket than the one it was presented with.
 177
 178                   https://www.samba.org/samba/security/CVE-2022-37967.html
 179
 180 o CVE-2022-38023: The "RC4" protection of the NetLogon Secure channel uses the
 181                   same algorithms as rc4-hmac cryptography in Kerberos,
 182                   and so must also be assumed to be weak.
 183
 184                   https://www.samba.org/samba/security/CVE-2022-38023.html
 185
 186 Note that there are several important behavior changes
 187 included in this release, which may cause compatibility problems
 188 interacting with system still expecting the former behavior.
 189 Please read the advisories of CVE-2022-37966,
 190 CVE-2022-37967 and CVE-2022-38023 carefully!
 191
 192 samba-tool got a new 'domain trust modify' subcommand
 193 -----------------------------------------------------
 194
 195 This allows "msDS-SupportedEncryptionTypes" to be changed
 196 on trustedDomain objects. Even against remote DCs (including Windows)
 197 using the --local-dc-ipaddress= (and other --local-dc-* options).
 198 See 'samba-tool domain trust modify --help' for further details.
 199
 200 smb.conf changes
 201 ----------------
 202
 203   Parameter Name                               Description             Default
 204   --------------                               -----------             -------
 205   allow nt4 crypto                             Deprecated              no
 206   allow nt4 crypto:COMPUTERACCOUNT             New
 207   kdc default domain supported enctypes        New (see manpage)
 208   kdc supported enctypes                       New (see manpage)
 209   kdc force enable rc4 weak session keys       New                     No
 210   reject md5 clients                           New Default, Deprecated Yes
 211   reject md5 servers                           New Default, Deprecated Yes
 212   server schannel                              Deprecated              Yes
 213   server schannel require seal                 New, Deprecated         Yes
 214   server schannel require seal:COMPUTERACCOUNT New
 215   winbind sealed pipes                         Deprecated              Yes
 216
 217 Changes since 4.17.3
 218 --------------------
 219
 220 o  Jeremy Allison <jra@samba.org>
 221    * BUG 15224: pam_winbind uses time_t and pointers assuming they are of the
 222      same size.
 223
 224 o  Andrew Bartlett <abartlet@samba.org>
 225    * BUG 14929: CVE-2022-44640 [SECURITY] Upstream Heimdal free of
 226      user-controlled pointer in FAST.
 227    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 228    * BUG 15237: CVE-2022-37966.
 229    * BUG 15258: filter-subunit is inefficient with large numbers of knownfails.
 230
 231 o  Ralph Boehme <slow@samba.org>
 232    * BUG 15240: CVE-2022-38023.
 233    * BUG 15252: smbd allows setting FILE_ATTRIBUTE_TEMPORARY on directories.
 234
 235 o  Stefan Metzmacher <metze@samba.org>
 236    * BUG 13135: The KDC logic arround msDs-supportedEncryptionTypes differs from
 237      Windows.
 238    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 239      atomically.
 240    * BUG 15203: CVE-2022-42898 [SECURITY] krb5_pac_parse() buffer parsing
 241      vulnerability.
 242    * BUG 15206: libnet: change_password() doesn't work with
 243      dcerpc_samr_ChangePasswordUser4().
 244    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 245    * BUG 15230: Memory leak in snprintf replacement functions.
 246    * BUG 15237: CVE-2022-37966.
 247    * BUG 15240: CVE-2022-38023.
 248    * BUG 15253: RODC doesn't reset badPwdCount reliable via an RWDC
 249      (CVE-2021-20251 regression).
 250
 251 o  Noel Power <noel.power@suse.com>
 252    * BUG 15224: pam_winbind uses time_t and pointers assuming they are of the
 253      same size.
 254
 255 o  Anoop C S <anoopcs@samba.org>
 256    * BUG 15198: Prevent EBADF errors with vfs_glusterfs.
 257
 258 o  Andreas Schneider <asn@samba.org>
 259    * BUG 15237: CVE-2022-37966.
 260    * BUG 15243: %U for include directive doesn't work for share listing
 261      (netshareenum).
 262    * BUG 15257: Stack smashing in net offlinejoin requestodj.
 263
 264 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 265    * BUG 15197: Windows 11 22H2 and Samba-AD 4.15 Kerberos login issue.
 266    * BUG 15219: Heimdal session key selection in AS-REQ examines wrong entry.
 267    * BUG 15231: CVE-2022-37967.
 268    * BUG 15237: CVE-2022-37966.
 269
 270 o  Nicolas Williams <nico@twosigma.com>
 271    * BUG 14929: CVE-2022-44640 [SECURITY] Upstream Heimdal free of
 272      user-controlled pointer in FAST.
 273
 274
 275
 276 #######################################
 277 Reporting bugs & Development Discussion
 278 #######################################
 279
 280 Please discuss this release on the samba-technical mailing list or by
 281 joining the #samba-technical:matrix.org matrix room, or
 282 #samba-technical IRC channel on irc.libera.chat.
 283
 284
 285 If you do report problems then please try to send high quality
 286 feedback. If you don't provide vital information to help us track down
 287 the problem then you will probably be ignored.  All bug reports should
 288 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 289 database (https://bugzilla.samba.org/).
 290
 291
 292 ======================================================================
 293 == Our Code, Our Bugs, Our Responsibility.
 294 == The Samba Team
 295 ======================================================================
 296
 297
 298 ----------------------------------------------------------------------
 299                    ==============================
 300                    Release Notes for Samba 4.17.3
 301                          November 15, 2022
 302                    ==============================
 303
 304
 305 This is a security release in order to address the following defects:
 306
 307
 308 o CVE-2022-42898: Samba's Kerberos libraries and AD DC failed to guard against
 309                   integer overflows when parsing a PAC on a 32-bit system, which
 310                   allowed an attacker with a forged PAC to corrupt the heap.
 311                   https://www.samba.org/samba/security/CVE-2022-42898.html
 312
 313 Changes since 4.17.2
 314 --------------------
 315 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 316    * BUG 15203: CVE-2022-42898
 317
 318 o  Nicolas Williams <nico@twosigma.com>
 319    * BUG 15203: CVE-2022-42898
 320
 321
 322 #######################################
 323 Reporting bugs & Development Discussion
 324 #######################################
 325
 326 Please discuss this release on the samba-technical mailing list or by
 327 joining the #samba-technical:matrix.org matrix room, or
 328 #samba-technical IRC channel on irc.libera.chat.
 329
 330
 331 If you do report problems then please try to send high quality
 332 feedback. If you don't provide vital information to help us track down
 333 the problem then you will probably be ignored.  All bug reports should
 334 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 335 database (https://bugzilla.samba.org/).
 336
 337
 338 ======================================================================
 339 == Our Code, Our Bugs, Our Responsibility.
 340 == The Samba Team
 341 ======================================================================
 342
 343
 344 ----------------------------------------------------------------------
 345                    ==============================
 346                    Release Notes for Samba 4.17.2
 347                           October 25, 2022
 348                    ==============================
 349
 350
 351 This is a security release in order to address the following defects:
 352
 353 o CVE-2022-3437:  There is a limited write heap buffer overflow in the GSSAPI
 354                   unwrap_des() and unwrap_des3() routines of Heimdal (included
 355                   in Samba).
 356                   https://www.samba.org/samba/security/CVE-2022-3437.html
 357
 358 o CVE-2022-3592:  A malicious client can use a symlink to escape the exported
 359                   directory.
 360                   https://www.samba.org/samba/security/CVE-2022-3592.html
 361
 362 Changes since 4.17.1
 363 --------------------
 364
 365 o  Volker Lendecke <vl@samba.org>
 366    * BUG 15207: CVE-2022-3592.
 367
 368 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 369    * BUG 15134: CVE-2022-3437.
 370
 371
 372 #######################################
 373 Reporting bugs & Development Discussion
 374 #######################################
 375
 376 Please discuss this release on the samba-technical mailing list or by
 377 joining the #samba-technical:matrix.org matrix room, or
 378 #samba-technical IRC channel on irc.libera.chat.
 379
 380 If you do report problems then please try to send high quality
 381 feedback. If you don't provide vital information to help us track down
 382 the problem then you will probably be ignored.  All bug reports should
 383 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 384 database (https://bugzilla.samba.org/).
 385
 386
 387 ======================================================================
 388 == Our Code, Our Bugs, Our Responsibility.
 389 == The Samba Team
 390 ======================================================================
 391
 392
 393 ----------------------------------------------------------------------
 394                    ==============================
 395                    Release Notes for Samba 4.17.1
 396                           October 19, 2022
 397                    ==============================
 398
 399
 400 This is the latest stable release of the Samba 4.17 release series.
 401
 402
 403 Changes since 4.17.0
 404 --------------------
 405
 406 o  Jeremy Allison <jra@samba.org>
 407    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 408      atomically.
 409    * BUG 15174: smbXsrv_connection_shutdown_send result leaked.
 410    * BUG 15182: Flush on a named stream never completes.
 411    * BUG 15195: Permission denied calling SMBC_getatr when file not exists.
 412
 413 o  Douglas Bagnall <douglas.bagnall@catalyst.net.nz>
 414    * BUG 15189: Samba 4.5 sometimes cannot be upgraded to Samba 4.6 or later
 415      over DRS: WERROR_DS_DRA_MISSING_PARENT due to faulty GET_ANC.
 416    * BUG 15191: pytest: add file removal helpers for TestCaseInTempDir.
 417
 418 o  Andrew Bartlett <abartlet@samba.org>
 419    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 420      atomically.
 421    * BUG 15189: Samba 4.5 sometimes cannot be upgraded to Samba 4.6 or later.
 422      over DRS: WERROR_DS_DRA_MISSING_PARENT due to faulty GET_ANC.
 423
 424 o  Ralph Boehme <slow@samba.org>
 425    * BUG 15182: Flush on a named stream never completes.
 426
 427 o  Volker Lendecke <vl@samba.org>
 428    * BUG 15151: vfs_gpfs silently garbles timestamps > year 2106.
 429
 430 o  Gary Lockyer <gary@catalyst.net.nz>
 431    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 432      atomically.
 433
 434 o  Stefan Metzmacher <metze@samba.org>
 435    * BUG 15200: multi-channel socket passing may hit a race if one of the
 436      involved processes already existed.
 437    * BUG 15201: memory leak on temporary of struct imessaging_post_state and
 438      struct tevent_immediate on struct imessaging_context (in
 439      rpcd_spoolss and maybe others).
 440
 441 o  Noel Power <noel.power@suse.com>
 442    * BUG 15205: Since popt1.19 various use after free errors using result of
 443      poptGetArg are now exposed.
 444
 445 o  Anoop C S <anoopcs@samba.org>
 446    * BUG 15192: Remove special case for O_CREAT in SMB_VFS_OPENAT from
 447      vfs_glusterfs.
 448
 449 o  Andreas Schneider <asn@samba.org>
 450    * BUG 15169: GETPWSID in memory cache grows indefinetly with each NTLM auth.
 451
 452 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 453    * BUG 14611: CVE-2021-20251 [SECURITY] Bad password count not incremented
 454      atomically.
 455
 456
 457 #######################################
 458 Reporting bugs & Development Discussion
 459 #######################################
 460
 461 Please discuss this release on the samba-technical mailing list or by
 462 joining the #samba-technical:matrix.org matrix room, or
 463 #samba-technical IRC channel on irc.libera.chat.
 464
 465
 466 If you do report problems then please try to send high quality
 467 feedback. If you don't provide vital information to help us track down
 468 the problem then you will probably be ignored.  All bug reports should
 469 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 470 database (https://bugzilla.samba.org/).
 471
 472
 473 ======================================================================
 474 == Our Code, Our Bugs, Our Responsibility.
 475 == The Samba Team
 476 ======================================================================
 477
 478
 479 ----------------------------------------------------------------------
 480                    ==============================
 481                    Release Notes for Samba 4.17.0
 482                          September 13, 2022
 483                    ==============================
 484
 485
 486 This is the first stable release of the Samba 4.17 release series.
 487 Please read the release notes carefully before upgrading.
 488
 489
 490 NEW FEATURES/CHANGES
 491 ====================
 492
 493 SMB Server performance improvements
 494 -----------------------------------
 495
 496 The security improvements in recent releases
 497 (4.13, 4.14, 4.15, 4.16), mainly as protection against symlink races,
 498 caused performance regressions for meta data heavy workloads.
 499
 500 With 4.17 the situation improved a lot again:
 501
 502 - Pathnames given by a client are devided into dirname and basename.
 503   The amount of syscalls to validate dirnames is reduced to 2 syscalls
 504   (openat, close) per component. On modern Linux kernels (>= 5.6) smbd
 505   makes use of the openat2() syscall with RESOLVE_NO_SYMLINKS,
 506   in order to just use 2 syscalls (openat2, close) for the whole dirname.
 507
 508 - Contended path based operations used to generate a lot of unsolicited
 509   wakeup events causing thundering herd problems, which lead to masive
 510   latencies for some clients. These events are now avoided in order
 511   to provide stable latencies and much higher throughput of open/close
 512   operations.
 513
 514 Configure without the SMB1 Server
 515 ---------------------------------
 516
 517 It is now possible to configure Samba without support for
 518 the SMB1 protocol in smbd. This can be selected at configure
 519 time with either of the options:
 520
 521 --with-smb1-server
 522 --without-smb1-server
 523
 524 By default (without either of these options set) Samba
 525 is configured to include SMB1 support (i.e. --with-smb1-server
 526 is the default). When Samba is configured without SMB1 support,
 527 none of the SMB1 code is included inside smbd except the minimal
 528 stub code needed to allow a client to connect as SMB1 and immediately
 529 negotiate the selected protocol into SMB2 (as a Windows server also
 530 allows).
 531
 532 None of the SMB1-only smb.conf parameters are removed when
 533 configured without SMB1, but these parameters are ignored by
 534 the smbd server. This allows deployment without having to change
 535 an existing smb.conf file.
 536
 537 This option allows sites, OEMs and integrators to configure Samba
 538 to remove the old and insecure SMB1 protocol from their products.
 539
 540 Note that the Samba client libraries still support SMB1 connections
 541 even when Samba is configured as --without-smb1-server. This is
 542 to ensure maximum compatibility with environments containing old
 543 SMB1 servers.
 544
 545 Bronze bit and S4U support now also with MIT Kerberos 1.20
 546 ----------------------------------------------------------
 547
 548 In 2020 Microsoft Security Response Team received another Kerberos-related
 549 report. Eventually, that led to a security update of the CVE-2020-17049,
 550 Kerberos KDC Security Feature Bypass Vulnerability, also known as a ‘Bronze
 551 Bit’. With this vulnerability, a compromised service that is configured to use
 552 Kerberos constrained delegation feature could tamper with a service ticket that
 553 is not valid for delegation to force the KDC to accept it.
 554
 555 With the release of MIT Kerberos 1.20, Samba AD DC is able able to mitigate the
 556 ‘Bronze Bit’ attack. MIT Kerberos KDC's KDB (Kerberos Database Driver) API was
 557 changed to allow passing more details between KDC and KDB components. When built
 558 against MIT Kerberos, Samba AD DC supports MIT Kerberos 1.19 and 1.20 versions
 559 but 'Bronze Bit' mitigation is provided only with MIT Kerberos 1.20.
 560
 561 In addition to fixing the ‘Bronze Bit’ issue, Samba AD DC now fully supports
 562 S4U2Self and S4U2Proxy Kerberos extensions.
 563
 564 Note the default (Heimdal-based) KDC was already fixed in 2021,
 565 see https://bugzilla.samba.org/show_bug.cgi?id=14642
 566
 567 Resource Based Constrained Delegation (RBCD) support
 568 ----------------------------------------------------
 569
 570 Samba AD DC built with MIT Kerberos 1.20 offers RBCD support now. With MIT
 571 Kerberos 1.20 we have complete RBCD support passing Sambas S4U testsuite.
 572
 573 samba-tool delegation got the 'add-principal' and 'del-principal' subcommands
 574 in order to manage RBCD.
 575
 576 To complete RBCD support and make it useful to Administrators we added the
 577 Asserted Identity [1] SID into the PAC for constrained delegation. This is
 578 available for Samba AD compiled with MIT Kerberos 1.20.
 579
 580 Note the default (Heimdal-based) KDC does not support RBCD yet.
 581
 582 [1] https://docs.microsoft.com/en-us/windows-server/security/kerberos/kerberos-constrained-delegation-overview
 583
 584 Customizable DNS listening port
 585 -------------------------------
 586
 587 It is now possible to set a custom listening port for the builtin DNS service,
 588 making easy to host another DNS on the same system that would bind to the
 589 default port and forward the domain-specific queries to Samba using the custom
 590 port. This is the opposite configuration of setting a forwarder in Samba.
 591
 592 It makes possible to use another DNS server as a front and forward to Samba.
 593
 594 Dynamic DNS updates may not be proxied by the front DNS server when forwarding
 595 to Samba. Dynamic DNS update proxying depends on the features of the other DNS
 596 server used as a front.
 597
 598 CTDB changes
 599 ------------
 600
 601 * When Samba is configured with both --with-cluster-support and
 602   --systemd-install-services then a systemd service file for CTDB will
 603   be installed.
 604
 605 * ctdbd_wrapper has been removed.  ctdbd is now started directly from
 606   a systemd service file or init script.
 607
 608 * The syntax for the ctdb.tunables configuration file has been
 609   relaxed.  However, trailing garbage after the value, including
 610   comments, is no longer permitted.  Please see ctdb-tunables(7) for
 611   more details.
 612
 613 Operation without the (unsalted) NT password hash
 614 -------------------------------------------------
 615
 616 When Samba is configured with 'nt hash store = never' then Samba will
 617 no longer store the (unsalted) NT password hash for users in Active
 618 Directory.  (Trust accounts, like computers, domain controllers and
 619 inter-domain trusts are not impacted).
 620
 621 In the next version of Samba the default for 'nt hash store' will
 622 change from 'always' to 'auto', where it will follow (behave as 'nt
 623 hash store = never' when 'ntlm auth = disabled' is set.
 624
 625 Security-focused deployments of Samba that have eliminated NTLM from
 626 their networks will find setting 'ntlm auth = disabled' with 'nt hash
 627 store = always' as a useful way to improve compliance with
 628 best-practice guidance on password storage (which is to always use an
 629 interated hash).
 630
 631 Note that when 'nt hash store = never' is set, then arcfour-hmac-md5
 632 Kerberos keys will not be available for users who subsequently change
 633 their password, as these keys derive their values from NT hashes.  AES
 634 keys are stored by default for all deployments of Samba with Domain
 635 Functional Level 2008 or later, are supported by all modern clients,
 636 and are much more secure.
 637
 638 Finally, also note that password history in Active Directory is stored
 639 in nTPwdHistory using a series of NT hash values.  Therefore the full
 640 password history feature is not available in this mode.
 641
 642 To provide some protection against password re-use previous Kerberos
 643 hash values (the current, old and older values are already stored) are
 644 used, providing a history length of 3.
 645
 646 There is one small limitation of this workaround: Changing the
 647 sAMAccountName, userAccountControl or userPrincipalName of an account
 648 can cause the Kerberos password salt to change.  This means that after
 649 *both* an account rename and a password change, only the current
 650 password will be recognised for password history purposes.
 651
 652 Python API for smbconf
 653 ----------------------
 654
 655 Samba's smbconf library provides a generic frontend to various
 656 configuration backends (plain text file, registry) as a C library. A
 657 new Python wrapper, importable as 'samba.smbconf' is available.  An
 658 additional module, 'samba.samba3.smbconf', is also available to enable
 659 registry backend support. These libraries allow Python programs to
 660 read, and optionally write, Samba configuration natively.
 661
 662 JSON support for smbstatus
 663 --------------------------
 664
 665 It is now possible to print detailed information in JSON format in
 666 the smbstatus program using the new option --json. The JSON output
 667 covers all the existing text output including sessions, connections,
 668 open files, byte-range locks, notifies and profile data with all
 669 low-level information maintained by Samba in the respective databases.
 670
 671 Protected Users security group
 672 ------------------------------
 673
 674 Samba AD DC now includes support for the Protected Users security
 675 group introduced in Windows Server 2012 R2. The feature reduces the
 676 attack surface of user accounts by preventing the use of weak
 677 encryption types. It also mitigates the effects of credential theft by
 678 limiting credential lifetime and scope.
 679
 680 The protections are intended for user accounts only, and service or
 681 computer accounts should not be added to the Protected Users
 682 group. User accounts added to the group are granted the following
 683 security protections:
 684
 685    * NTLM authentication is disabled.
 686    * Kerberos ticket-granting tickets (TGTs) encrypted with RC4 are
 687      not issued to or accepted from affected principals. Tickets
 688      encrypted with AES, and service tickets encrypted with RC4, are
 689      not affected by this restriction.
 690    * The lifetime of Kerberos TGTs is restricted to a maximum of four
 691      hours.
 692    * Kerberos constrained and unconstrained delegation is disabled.
 693
 694 If the Protected Users group is not already present in the domain, it
 695 can be created with 'samba-tool group add'. The new '--special'
 696 parameter must be specified, with 'Protected Users' as the name of the
 697 group. An example command invocation is:
 698
 699 samba-tool group add 'Protected Users' --special
 700
 701 or against a remote server:
 702
 703 samba-tool group add 'Protected Users' --special -H ldap://dc1.example.com -U Administrator
 704
 705 The Protected Users group is identified in the domain by its having a
 706 RID of 525. Thus, it should only be created with samba-tool and the
 707 '--special' parameter, as above, so that it has the required RID
 708 to function correctly.
 709
 710
 711 REMOVED FEATURES
 712 ================
 713
 714 LanMan Authentication and password storage removed from the AD DC
 715 -----------------------------------------------------------------
 716
 717 The storage and authentication with LanMan passwords has been entirely
 718 removed from the Samba AD DC, even when "lanman auth = yes" is set.
 719
 720
 721 smb.conf changes
 722 ================
 723
 724   Parameter Name                          Description     Default
 725   --------------                          -----------     -------
 726   dns port                                New default     53
 727   fruit:zero_file_id                      New default     yes
 728   nt hash store                           New parameter   always
 729   smb1 unix extensions                    Replaces "unix extensions"
 730   volume serial number                    New parameter   -1
 731   winbind debug traceid                   New parameter   no
 732
 733
 734 CHANGES SINCE 4.17.0rc4
 735 =======================
 736
 737 o  Ralph Boehme <slow@samba.org>
 738    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 739      permissions instead of ACL from xattr.
 740    * BUG 15153: Missing SMB2-GETINFO access checks from MS-SMB2 3.3.5.20.1.
 741    * BUG 15161: assert failed: !is_named_stream(smb_fname)") at
 742      ../../lib/util/fault.c:197.
 743
 744 o  Volker Lendecke <vl@samba.org>
 745    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 746      permissions instead of ACL from xattr.
 747    * BUG 15161: assert failed: !is_named_stream(smb_fname)") at
 748      ../../lib/util/fault.c:197.
 749
 750 o  Stefan Metzmacher <metze@samba.org>
 751    * BUG 15159: Cross-node multi-channel reconnects result in SMB2 Negotiate
 752      returning NT_STATUS_NOT_SUPPORTED.
 753
 754 o  Noel Power <noel.power@suse.com>
 755    * BUG 15160: winbind at info level debug can coredump when processing
 756      wb_lookupusergroups.
 757
 758
 759 CHANGES SINCE 4.17.0rc3
 760 =======================
 761
 762 o  Anoop C S <anoopcs@samba.org>
 763    * BUG 15157: Make use of glfs_*at() API calls in vfs_glusterfs.
 764
 765
 766 CHANGES SINCE 4.17.0rc2
 767 =======================
 768
 769 o  Jeremy Allison <jra@samba.org>
 770    * BUG 15128: Possible use after free of connection_struct when iterating
 771      smbd_server_connection->connections.
 772
 773 o  Christian Ambach <ambi@samba.org>
 774    * BUG 15145: `net usershare add` fails with flag works with --long but fails
 775      with -l.
 776
 777 o  Ralph Boehme <slow@samba.org>
 778    * BUG 15126: acl_xattr VFS module may unintentionally use filesystem
 779      permissions instead of ACL from xattr.
 780
 781 o  Stefan Metzmacher <metze@samba.org>
 782    * BUG 15125: Performance regression on contended path based operations.
 783    * BUG 15148: Missing READ_LEASE break could cause data corruption.
 784
 785 o  Andreas Schneider <asn@samba.org>
 786    * BUG 15141: libsamba-errors uses a wrong version number.
 787
 788 o  Joseph Sutton <josephsutton@catalyst.net.nz>
 789    * BUG 15152: SMB1 negotiation can fail to handle connection errors.
 790
 791
 792 CHANGES SINCE 4.17.0rc1
 793 =======================
 794
 795 o  Jeremy Allison <jra@samba.org>
 796    * BUG 15143: New filename parser doesn't check veto files smb.conf parameter.
 797    * BUG 15144: 4.17.rc1 still uses symlink-race prone unix_convert()
 798    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 799
 800 o  Jule Anger <janger@samba.org>
 801    * BUG 15147: Manpage for smbstatus json is missing
 802
 803 o  Volker Lendecke <vl@samba.org>
 804    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 805
 806 o  Stefan Metzmacher <metze@samba.org>
 807    * BUG 15125: Performance regression on contended path based operations
 808    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 809
 810 o  Andreas Schneider <asn@samba.org>
 811    * BUG 15140: Fix issues found by coverity in smbstatus json code
 812    * BUG 15146: Backport fileserver related changed to 4.17.0rc2
 813
 814
 815 KNOWN ISSUES
 816 ============
 817
 818 https://wiki.samba.org/index.php/Release_Planning_for_Samba_4.17#Release_blocking_bugs
 819
 820
 821 #######################################
 822 Reporting bugs & Development Discussion
 823 #######################################
 824
 825 Please discuss this release on the samba-technical mailing list or by
 826 joining the #samba-technical:matrix.org matrix room, or
 827 #samba-technical IRC channel on irc.libera.chat
 828
 829 If you do report problems then please try to send high quality
 830 feedback. If you don't provide vital information to help us track down
 831 the problem then you will probably be ignored.  All bug reports should
 832 be filed under the Samba 4.1 and newer product in the project's Bugzilla
 833 database (https://bugzilla.samba.org/).
 834
 835
 836 ======================================================================
 837 == Our Code, Our Bugs, Our Responsibility.
 838 == The Samba Team
 839 ======================================================================
 840