(merge from 3.0)

JHT came up with a nasty (broken) torture case in preparing examples for
his book.

This prompted me to look at the code that reads the unix group list.  This
code did a lot of name -> uid -> name -> sid translations, which caused
problems.  Instead, we now do just name -> sid

I also cleaned up some interfaces, and client tools.

Andrew Bartlett

(merge from 3.0)

Changes to our PAM code to cope with the fact that we can't handle some
domains (in particular, the domain of the current machine, if it is not a PDC)

By changing the error codes, we now return values that PAM can correctly
use for better stacking of PAM modules - in particular of the password change
module.

This allows pam_winbind to co-exist with other pam modules for password changes.
Andrew Bartlett

(merge from 3.0)

auth/auth_util.c:
 - Fill in the 'backup' idea of a domain, if the DC didn't supply one.  This
   doesn't seem to occour in reality, hence why we missed the typo.

lib/charcnv.c:
lib/smbldap.c:
libads/ldap.c:
libsmb/libsmbclient.c:
printing/nt_printing.c:
 - all the callers to pull_utf8_allocate() pass a char ** as the first
   parammeter, so don't make them all cast it to a void **

nsswitch/winbind_util.c:
 - Allow for a more 'correct' view of when usernames should be qualified
   in winbindd.  If we are a PDC, or have 'winbind trusted domains only',
   then for the authentication returns stip the domain portion.
 - Fix valgrind warning about use of free()ed name when looking up our
   local domain.  lp_workgroup() is maniplated inside a procedure that
   uses it's former value.  Instead, use the fact that our local domain is
   always the first in the list.

--

Jerry rightly complained that we can't assume that the first domain is
our primary domain - new domains are added to the front of the list. :-(

Use a much more reliable 'flag test' instead.  (note:  changes winbind
structures, make clean).

--

Forgot to commit this for the 'get our primary domain' change.

Andrew Bartlett

(merge from 3.0)

Try to gain a bit more consistancy in the output of usernames from ntlm_auth:

Instead of returning a name in DOMAIN\user format, we now return it in the
same way that nsswtich does - following the rules of 'winbind use default
domain', in the correct case and with the correct seperator.

This should help sites who are using Squid or the new SASL code I'm working
on, to match back to their unix usernames.

--

Get the DOMAIN\username around the right way (I had username\domain...)

Push the unix username into utf8 for it's trip across the socket.

Andrew Bartlett

(merge from 3.0)

Remove testing hack

Make the name of the NTLMSSP client more consistant before we lock it in stone.

Andrew Bartlett

(merge from 3.0)

Move our basic password checking code from inside the authentication
subsystem into a seperate file - ntlm_check.c.

This allows us to call these routines from ntlm_auth.  The purpose of this
exercise is to allow ntlm_auth (when operating as an NTLMSSP server) to
avoid talking to winbind.  This should allow for easier debugging.

ntlm_auth itself has been reorgainised, so as to share more code between
the SPNEGO-wrapped and 'raw' NTLMSSP modes.  A new 'client' NTLMSSP mode
has been added, for use with a Cyrus-SASL module I am writing (based on vl's
work)

Andrew Bartlett

(merge from 3.0)

Refactor our authentication and authentication testing code.

The next move will be to remove our password checking code from the SAM
authentication backend, and into a file where other parts of samba can use
it.

The ntlm_auth changes provide for better use of common code.

Andrew Bartlett

(merge from 3.0)

Add the alignment required before all 2-byte quantities in NDR.  Allows us
to correctly parse plaintext netlogon calls with odd-length passwords

Andrew Bartlett

(merge from 3.0)

Shutting down the connection closes outstanding sessions, so we don't need
to do it twice...

Amdrew Bartlett

(merge from 3.0)

Check the return value of string_to_sid in a few more places.  (But
string_to_sid also needs to be less permissive on what it thinks are
valid sids...)

Andrew Bartlett

(merge from 3.0)

Show the error message for failure to set the ldap password.
(For 'ldap password sync = yes')

Andrew Bartlett

(merge from 3.0)

Based on patch by Petri Asikainen <paca@sci.fi> fix bug #387 and #330.

This patch will change order how attributes are modified
from: add, delete
to:   delete, add

This is needed to update single valued attributes in Novell NDS and
should not harm anyone else.

Fix from James Flemer <jflemer@uvm.edu> to make HAVE_ATTR_LIST linked to
HAVE_SYS_ATTRIBUTES_H to fix AIX compile.
Jeremy.

fix inverted check using krb5_kt_resolve() and HAVE_MEMORY_KEYTAB; bug 912

Merge commit to 3_0: add pdb_pgsql

Commit the translation of the realm to the netbios domain name in the kerberos
session setup. After talking to jht and abartlet I made this unconditional, no
additional parameter.

Jerry: This is a change in behaviour, but I think it is necessary.

Volker

And yet another const

Volker

After talking with abartlet remove the fix for bug 707 again.

Volker

Fix for bug 707, getent group for huge ads groups (>1500 members)
This introduces range retrieval of ADS attributes.

I've rewritten most of Günther's patch, partly to remove code duplication and
partly to get the retrieval of members in one rush, not interrupted by the
lookups for the DN.

Andrew, you told me that you would like to see a check whether the AD sequence
number is the same before and after the retrieval to achieve atomicity. This
would be trivial to add, but I'm not sure that we want this, as this adds two
roundtrips to every membership query. We can not know before the first query
whether we get additional range values, and at that point it's too late to ask
for the USN.

Tested with a group of 4000 members along with lots of small groups.

Volker

Move to short lived TALLOC_CTX* for allocating printer
objects from the print handle cache.   Fixes bug that
caused smbd to consume large amounts of RAM when

(a) a printer handle was kept open over an extended
    period of time, and
(b) the client issued frequent requests that resulted
    in a call to get_a_printer()

Another little one: Make pdb_test.c at least compile, although its way out of
date.

Volker

The AFS pts command always generates completely lower-case user names. As case
is not significant in windows user names we should not lose information by
lower-casing the name before handing it to AFS.

Volker

Fix Bug # 924

Volker

Preliminary fix for our signing problem with failed NTLMSSP logins. This patch
solves the problem for me here, I can still successfully set up signing using
NTLMSSP against w2k3 and it does not show a signing error anymoe when the
password was wrong.

Jeremy, you might want to take a further look at it as this is not
particularly elegant.

Volker

Collecting another little patch from gd@suse.de

As broken as it might be, smbwrapper.so should be put into the
libdir and not bindir.

Volker

Collecting some minor patches...

This adds the ability to specify the new user password for 'net ads password'
on the command line. As this needs the admin password on the command line, the
information leak is minimally more.

Patch from gd@suse.de

Volker

(merge from 3.0)
ldap rebind sleep -> ldap replication sleep

While writing documentation for metze's patch, it became clear that this is a
better name.

Andrew Bartlett

This is metze's LDAP rebind sleep patch:

When smb.conf tells us to write to a read-only LDAP replica and we are
redirected by the LDAP server, the replication might take some seconds,
especially over slow links. This patch delays the next read after a rebind for
'ldap rebind sleep' milliseconds.

Metze, thanks for your patience.

Volker

Fix our parsing of the LDAP url. We get around it as all decent systems seem
to have ldap_initialize.

Thanks to abartlet for the fix (and the bug in the first place ;-))

Volker

abartlet pointed me at the fact that the order and flags in loadparm.c are
actually used.... 'afs username map' should not show up in the swat basic
view. :-)

Maybe I should use swat from time to time....

Volker

(merge from 3.0)

Fix bug 916 - do not perform a + -> space substitution for squid URL encoded
strings, only form input in SWAT.

Andrew Bartlett

(merge from 3.0)

Thanks to Serassio Guido for noticing issues in our Squid NTLMSSP
implementation.  We were not resetting the NTLMSSP state for new
negotiate packets.

Andrew Bartlett

Fix for special files being hidden from admins by Dmitry Butskoj <buc@odusz.elektra.ru>
Jeremy.

correct typo in delete user script; bug 887

add well known rid for pre win2k compatible access group; bug 897

Patch from Jianliang Lu j.lu@tiesse.com to manage Power Users
group.
Jeremy.

* add a few useful debug lines
* fix bug involving Win9x clients.  Make sure we
  save the right case for the located username
  in fill_sam_account()

Add in comments explaining NTLMv2 selection. Use lm session key if that's
all there is.
Jeremy.

Tidyup debug message in ntlmssp code. Add brackets around dodgy if statement.
Jeremy

Make sure we correctly generate the lm session key.
This fixes a problem joining a Samba domain from a
vanilla win2k client that doesn't set the
NTLMSSP_NEGOTIATE_NTLM2 flag.

Reported on samba ml as "decode_pw: incorrect password length"
when handling a samr_set_userinfo(23 or 24) RPC.

make sure we delete the group mapping before calling the delete group script; patch from Jianliang Lu <j.lu@tiesse.com>

Fix from ndb@theghet.to to allow an existing LDAP machine account to be
re-used, rather than created from scratch.
Jeremy.

Fix for bug #815. Make plaintext unicode passwords work with NT4.x
Jeremy.

Fix detection of elements in in-memory keytab code.
Jeremy.

fix bug that prevent --mandir from overriding the defaults given in the --with-fhs macro

Correctly detect in-memory krb5 keytab support. Fix for bug #863 from
gschafer@zip.com.au (Greg Schafer).
Jeremy.

Patch from James Peach <jpeach@sgi.com>. Remove the MAX_CONNECTIONS limit
by increasing bitmap size. Limited by "max connections" parameter.
Bug #716.
Jeremy.

fixed bad formal parameter type in get_static(); patch Andy Polyakov

Fix uninitialized variable in passdb code. Reported by Andy Polyakov <appro@fy.chalmers.se>

Fix UNISTR2 length bug in LsaQueryInfo(3) that cause SID resolution to fail on local files on on domain members; bug 875

more group lookup access fixes on the neverending bug 281

Fix #558 -- support ISO-8859-1 internally. Makes Solaris users a bit happier

patch from TAKEDA yasuma to bypass any missing language files

IRIX spinlock patch from James Peach <jpeach@sgi.com>.
Jeremy.

working on packaging; also fixed some path issues in configure.in & Makefile.in

Final part of fix for #445. Don't add user for machine accounts.
Jeremy.

fix bug in get_peer_name() caused by --enable-developer and using the same src & dest strings to alpha_strcpy(); reported by Michael Young

Make intent to return only one address clear.
Jeremy.

working on bug 687; protect against null src strings in alloc_sub_basic()

make sure we use a real network address in case there are extra non-zero octets in hosts allow/deny

Merge from 3.0:

source/libsmb/ntlmssp.c:
Picked up by the build farm - despite all my efforts, security=server was
broken by my NTLM2 commit.  This should correctly cause the NTLM2 case
not to be negotiated when 'security=server' is in effect.

testsuide/build_farm/runlist:
Without 'non unix accounts' we can't test security=domain on the build farm.

source/rpc_server/srv_samr_nt.c:
Match Win2k and return 'invalid parameter' for creating of a new account with
account flags of 0.

Andrew Bartlett

Fix for bug #445 (missing unix user on kerberos auth doesn't call add user
script).
Jeremy.

fix %a variable for Windows 2003 -> Win2K3

Janitor for tridge...
Jeremy.

packaging updates from Buchan

create libdir for installclientlib; patch from Bill Knox

fix process_incoming_data() to return the number of bytes handled this call whether we have a complete pdu or not; fixes bug with multiple pdu request rpc's broken over SMBwriteX calls each

typo in BASEDIR; patch from Darren Chew

readding schema items that were accidentally deleted

support munged dial for ldapsam; patch from Aurélien Degrémont; bug 800

don't crash on a NULL priviledge pointer; patch from Jianliang Lu

* fix RemoveSidForeignDomain() ; bug 252
* don't fall back to unmapped UNIX group for
  get_local_group_from_sid()
* remove an extra become/unbecome_root() pair
  from group enumeration

Fix for "hash" (not hash2) type mangling. Noticed by "Forrest W. Christian" <fwc@mt.net>
Jeremy.

Two trivial warnings

Volker

Client connect signing error messages should be level zero else
they're easy to miss.
Jeremy.

Get a little paranoid about memfree use in convert_string_allocate..
Looking at crash bugs #809 and others.
Jeremy.

another strequal() == 0 fix

fix inverted logic caused by s/strcmp/strequal/; host allow/deny works again; bug 846

add Replicator and RAS Servers to list of builtin SIDs we resolve; bug 608

don't mistake pre-existing UNIX jobs for smb jobs; patch from SATOH Fumiyasu bug 770

In the brief 'net rpc group' listing, don't cut off group names at 21 chars.

Volker

Beautify the net status help message a bit

Volker

I needed a decently parseable format of smbstatus. Looking at smbstatus code
tells me that this should not be expanded, so I implemented

net status [sessions|shares] [parseable]

Volker

Fix spurious error msg. when seq=0.
Jeremy.

Ensure the server can cope with multiple secondary trans
requests when signing is turned on.
Jeremy.

Subtract NT_STATUS from common flag, don't add it...
Jeremy.

Ensure we use the same mid for the secondary trans requests, W2K3
does this.
Jeremy.

Don't automatically set nt status code flag unless client tells us it can
cope.
Jeremy.

Better fix for client signing bug. Ensure we don't malloc/free trans signing
state info each packet.
Jeremy.

Fix signing bug with secondary client trans requests. Turns out the last
packet is the one that matters for checking the signing replies. Need to
check the server code does this correctly too....
Bug #832 reported by Volker.
Jeremy.

Implement 'net rpc group list [global|local|builtin]*' for a select listing of
the respective user databases.

Volker

Fix for pdbedit error code returns (sorry, forgot who sent in the patch).
Jeremy.

Only ask for 512 names at a time.

Volker

use samr_dispinfo(level == 1) for enumerating domain users so we can include the full name in gecos field; bug 587

Patch from Benjamin Riefenstahl <Benjamin.Riefenstahl@epost.de> to add
MacOSX (Darwin) specific charset module code. Also had to add AC_CHECK_CPP
to configure.in (this took a *long* time to track down) to make autoconf
work correctly on Fedora Core 1.
Jeremy.

Implement "net rpc group members": Get members of a domain group in
human-readable format.

Volker

Get rid of a const warning

Volker

Merge from 3.0:

 - NTLM2 fixes, don't force NTLM2
 - Don't use NTLM2 for RPC, it doesn't work yet
 - Add comments to winbindd_pam.c
 - Merge 64 bit fixes and better debug messages in winbindd.c

Andrew Bartlett

Patch from Jim McDonough for bug #802. Retrieve the correct ACL group bits
if the file has an ACL.
Jeremy.

allow users to delete jobs with cups printing backend
The changes the name of the job passed off to cups
from "Test Page" to "smbprn.00000033 Test Page" so that
we can get the smb jobid back from lpq.  Working on bug
770.